Jurídico

Acordo de Subcontratação de Tratamento de Dados (AVV) nos termos do Art. 28 DSGVO

Status: 21 de outubro de 2026 · Todos os documentos jurídicos

Tradução para fins informativos. Apenas a versão alemã é juridicamente vinculativa.

Tradução para fins informativos. Apenas a versão alemã é juridicamente vinculativa.

---

Quando se aplica este acordo

Este acordo aplica-se exclusivamente a eventos empresariais — reservados por uma empresa, uma autoridade pública, uma associação ou outra organização no âmbito da sua atividade. Passa a fazer parte do contrato automaticamente com a celebração deste e não necessita de ser assinado separadamente; disponibilizamos um exemplar assinado, a pedido, através de privacy@snapories.com.

Não se aplica a eventos privados (casamento, aniversário, festa de família). Nesses casos, a pessoa que efetua a reserva está, por regra, excluída do âmbito da DSGVO (exceção doméstica, Art. 2 Abs. 2 lit. c DSGVO) e nós somos responsáveis pelo tratamento autónomos — não existe subcontratação de tratamento de dados nesta configuração.

Partes

---

§ 1 Objeto, duração e vinculação às instruções

1.1 O objeto é o tratamento de dados pessoais que efetuamos por conta da Organizadora na prestação dos serviços descritos nos Termos e Condições Gerais. A natureza, a finalidade, o âmbito, as categorias de dados e os titulares dos dados resultam do Anexo 1.

1.2 O acordo vigora pela duração do contrato principal, no máximo até à eliminação de todos os dados tratados por conta da Organizadora nos termos do § 9.

1.3 Tratamos os dados exclusivamente mediante instruções documentadas da Organizadora. As instruções são dadas em forma de texto para privacy@snapories.com; as possibilidades de configuração previstas no produto (período do evento, região de dados, visibilidade, ligação de partilha para convidados, bloqueio de imagens e de convidados, idiomas, pedidos de eliminação) valem como instrução.

1.4 Se considerarmos uma instrução ilícita, comunicamo-lo sem demora injustificada. Podemos suspender a execução até à confirmação ou alteração (Art. 28 Abs. 3 UAbs. 2 DSGVO).

1.5 Os tratamentos para fins próprios — execução do contrato e faturação, segurança operacional e informática, prevenção de utilização abusiva, indicadores agregados sem referência a pessoas, cumprimento de obrigações legais — não são objeto deste acordo. Nessa medida, somos responsáveis pelo tratamento autónomos; aplica-se a Política de Privacidade.

---

§ 2 Local de tratamento

2.1 Os dados de um evento são tratados na região de dados escolhida para esse evento no momento da reserva: União Europeia (Frankfurt am Main) ou Estados Unidos (Norte da Virgínia). Não há replicação entre as regiões. O armazenamento, o tratamento e a eliminação ocorrem exclusivamente nessa região; para a entrega das imagens, estas são, enquanto o evento decorre, também temporariamente armazenadas em cache em localizações de edge fora da região escolhida (Anexo 3, secção 1.1).

2.2 Em derrogação do exposto, a geração na cabina fotográfica de IA ocorre junto do fornecedor de IA utilizado, inclusive fora do EEE (Anexo 3). A Organizadora toma conhecimento disto; se desativar a cabina fotográfica para o seu evento, esta transmissão não ocorre.

2.3 As transmissões para países terceiros efetuam-se exclusivamente com base numa decisão de adequação ou nas cláusulas contratuais-tipo (Decisão de Execução (UE) 2021/914), juntamente com uma avaliação de impacto da transferência.

2.4 Em derrogação do § 2.1, os dados de comunicação referidos no Anexo 1 — os endereços de correio eletrónico dos utilizadores do dashboard e os respetivos códigos de início de sessão — são tratados, em cada evento, na União Europeia (Frankfurt am Main), independentemente da região de dados do evento. Uma conta gere eventos em ambas as regiões; por conseguinte, este registo não pertence a nenhum evento individual e não pode acompanhar nenhum, sendo mantido uma única vez e lido a partir de ambas as regiões (Anexo 3, secção 1.2). Nenhuma imagem está envolvida. O mesmo se aplica aos dados que tratamos, enquanto responsáveis autónomos pelo tratamento, nos termos do § 1.5.

---

§ 3 Confidencialidade

3.1 Para o tratamento, recorremos apenas a pessoas que estão obrigadas à confidencialidade ou que se encontram sujeitas a um dever legal de sigilo adequado (Art. 28 Abs. 3 lit. b DSGVO).

3.2 As pessoas utilizadas estão familiarizadas com as exigências pertinentes em matéria de proteção de dados e são instruídas regularmente.

---

§ 4 Medidas técnicas e organizativas

4.1 Adotamos as medidas ao abrigo do Art. 32 DSGVO descritas no Anexo 2 e mantemo-las durante a vigência do contrato.

4.2 As medidas podem ser desenvolvidas posteriormente, desde que o nível de proteção não seja reduzido. Documentamos as alterações substanciais e comunicamo-las mediante pedido.

---

§ 5 Subcontratantes

5.1 A Organizadora concede uma autorização geral por escrito para o recurso a subcontratantes (Art. 28 Abs. 2 Satz 2 DSGVO). Os subcontratantes utilizados à data do presente acordo encontram-se enumerados nominalmente no Anexo 3.

5.2 Caso tencionemos recorrer a outro subcontratante ou substituir um já existente, informamos a Organizadora, sob a forma de texto, com uma antecedência mínima de 30 dias. A Organizadora pode, dentro desse prazo, opor-se por motivo importante relacionado com a proteção de dados. Se se opuser, podemos adaptar o serviço em causa ou rescindir o contrato, mediante aviso prévio ordinário, com efeitos a partir da alteração prevista, e reembolsar a remuneração proporcional.

5.3 Vinculamos os subcontratantes a obrigações de proteção de dados que correspondem, no essencial, às aqui acordadas, e respondemos pela sua conduta como pela nossa própria.

---

§ 6 Apoio à Organizadora

6.1 Direitos dos titulares dos dados. Caso os titulares dos dados se dirijam diretamente a nós, transmitimos o pedido sem demora injustificada à Organizadora e não o respondemos nós próprios, na medida em que diga respeito ao objeto do tratamento. Apoiamos a Organizadora, através de medidas técnicas e organizativas adequadas, no cumprimento dos direitos previstos nos Art. 12–22 DSGVO, em especial o acesso, a retificação, o apagamento, a limitação e a entrega das imagens de um evento.

6.2 Obrigações decorrentes dos Art. 32–36 DSGVO. Apoiamos a Organizadora na garantia da segurança do tratamento, na notificação de violações de dados pessoais e na realização de uma avaliação de impacto sobre a proteção de dados, tendo em conta, em cada caso, a natureza do tratamento e as informações de que dispomos.

6.3 Esforço. O apoio prestado no âmbito do que é habitual e razoável é gratuito. Pelo apoio que exceda o legalmente devido e que cause um esforço considerável, podemos exigir uma remuneração adequada; chamaremos a atenção para esse facto previamente.

---

§ 7 Comunicação de violações da proteção de dados pessoais

7.1 Informamos a Organizadora sem demora injustificada após termos tomado conhecimento de uma violação da proteção de dados pessoais no âmbito do tratamento por conta de outrem — em regra, no prazo de 24 horas.

7.2 A comunicação contém, na medida do disponível: a descrição da natureza da violação, as categorias e o número aproximado de pessoas em causa e de registos de dados afetados, as consequências prováveis, as medidas tomadas e propostas, bem como um ponto de contacto.

7.3 A notificação à autoridade de controlo (Art. 33 DSGVO) e a comunicação às pessoas em causa (Art. 34 DSGVO) incumbem à Organizadora; prestamos-lhe apoio nessa matéria.

---

§ 8 Comprovativos e controlos

8.1 A pedido, disponibilizamos à Organizadora todas as informações necessárias para comprovar o cumprimento das obrigações decorrentes do Art. 28 DSGVO — prioritariamente através de documentação, do Anexo 2 e, quando existentes, de certificados e relatórios de auditoria dos nossos subcontratantes.

8.2 Caso, num caso concreto, esses comprovativos não sejam suficientes, possibilitamos verificações, incluindo inspeções. Estas devem ser anunciadas com antecedência razoável (no mínimo 14 dias), não podem perturbar indevidamente a atividade e realizam-se, no máximo, uma vez por ano — salvo se existir um motivo concreto. Os terceiros responsáveis pela verificação não podem ser concorrentes e devem ser obrigados a sigilo.

---

§ 9 Eliminação e restituição

9.1 Após o termo do tratamento, eliminamos os dados tratados por conta de outrem ou restituímo-los, à escolha da Organizadora. A Organizadora pode descarregar a qualquer momento, através do dashboard, as imagens de um evento.

9.2 Na ausência de instrução em contrário, a eliminação ocorre com o decurso do prazo de conservação acordado nas AGB. A pedido, procedemos à eliminação antecipada.

9.3 Ficam excluídos da eliminação os dados relativamente aos quais exista uma obrigação legal de conservação; estes são bloqueados para utilização posterior.

9.4 A eliminação é confirmada em forma de texto, a pedido.

---

§ 10 Responsabilidade

A responsabilidade rege-se pelo Art. 82 DSGVO e pelas disposições do contrato principal; as limitações de responsabilidade do contrato principal não se aplicam aos direitos das pessoas em causa nos termos do Art. 82 DSGVO.

---

§ 11 Relação com o contrato principal

Em caso de contradições entre o presente acordo e o contrato principal, o presente acordo prevalece no que respeita ao tratamento de dados pessoais.

---

§ 12 Disposições finais

12.1 As alterações exigem a forma de texto. 12.2 Aplica-se o direito alemão. 12.3 Caso uma disposição seja inválida, a validade das restantes permanece inalterada. 12.4 Versão linguística determinante.

Apenas a versão alemã do presente acordo é determinante. As versões noutras línguas são por nós disponibilizadas exclusivamente para fins informativos. Em caso de divergências, prevalece a versão alemã.

---

Anexo 1 — Objeto do tratamento

Natureza e finalidade. Recolha, armazenamento, estruturação, apresentação, disponibilização e eliminação de imagens e dados associados para efeitos da exploração de uma galeria de evento fechada, incluindo uma cabine fotográfica com IA, por conta e sob instruções da Organizadora. A cabine fotográfica não tem câmara própria: um convidado aplica-a a uma imagem que ele próprio captou e que já se encontra na galeria. Caso a Organizadora tenha contratado imagens de IA, cada imagem carregada é adicionalmente verificada de forma automática quanto à possibilidade de a função poder ser oferecida para a mesma (Anexo 3, Google).

Titulares dos dados

• convidados que aderem ao evento
• pessoas retratadas em imagens contribuídas ou geradas
• colaboradores da Organizadora que utilizam o painel

Categorias de dados

Categorias especiais. Não são gerados quaisquer dados biométricos destinados à identificação inequívoca de uma pessoa singular; em nenhum momento são criados modelos faciais (templates), vetores faciais ou qualquer comparação facial.

Contudo, a análise que precede uma geração por IA e a verificação automática de cada imagem carregada produzem uma breve descrição das pessoas retratadas em primeiro plano, que inclui o seu tom de pele aparente e a sua origem étnica aparente — informações na aceção do Art. 9 DSGVO. Servem exclusivamente para preservar a aparência das pessoas retratadas na imagem gerada; não são escritas na base de dados da Subcontratante (numa geração são transportadas, cifradas, no token de sessão que a aplicação do convidado mantém; na verificação automática são descartadas assim que a resposta sim/não é delas derivada) e não são utilizadas para classificar, traçar perfis, avaliar ou reconhecer alguém.

Além disso, as imagens podem, pela sua própria natureza, revelar informações sensíveis; a Organizadora avalia, sob a sua própria responsabilidade, se o seu evento exige precauções especiais a esse respeito.

---

Anexo 2 — Medidas técnicas e organizativas (Art. 32 DSGVO)

Confidencialidade

• Acesso físico: exclusivamente centros de dados de fornecedores certificados (ISO 27001, SOC 2); não operamos hardware próprio.
• Acesso aos sistemas: acesso aos sistemas de produção apenas para pessoas designadas, através de contas personalizadas com autenticação de dois fatores; acesso à consola interna através de uma lista de endereços expressamente configurada.
• Acesso aos dados: tokens vinculados a funções e âmbitos (evento, host, parceiro, recomendação, staff); ficheiros de imagem apenas através de hiperligações de obtenção assinadas e de curta duração.
• Separação: separação das regiões de dados para os dados do evento (bases de dados próprias, áreas de armazenamento próprias, sem espelhamento entre regiões); os registos de conta e comerciais são mantidos uma única vez, na UE, e lidos a partir de ambas as regiões, em vez de serem copiados para qualquer uma delas (§ 2.4); separação das seis superfícies em domínios próprios sem armazenamento partilhado no navegador; separação de dados de teste e de produção.
• Pseudonimização: identidade sem conta através de identificadores emitidos no lado do servidor; os endereços IP dos contadores de abuso são truncados e sujeitos a hash, nunca armazenados em texto simples.

Integridade

• Transmissão: TLS para todas as ligações; nenhuma incorporação de tipos de letra, ferramentas de análise ou de publicidade de terceiros na aplicação dos convidados e no painel da organizadora, nos quais são tratados dados objeto de subcontratação; os dados de pagamento fluem diretamente para o prestador de serviços de pagamento.
• Introdução: verificação no lado do servidor de todas as entradas em relação a um esquema de contrato central e tipado; registo das operações administrativas; contadores de contingente e de custos com operações atómicas contra a dupla contabilização.

Disponibilidade e resiliência

• serviços de armazenamento e de base de dados geridos e com múltipla redundância, com cifragem em repouso; escalabilidade automática da camada de aplicação; limites de custo rígidos para as chamadas de IA; proteção contra abuso face a chamadas em massa automatizadas.

Procedimentos de verificação

• execuções de teste automatizadas antes de cada publicação (testes funcionais ponto a ponto, verificação da descrição da infraestrutura, reconciliação automática de cada entrada de armazenamento no navegador em relação a um registo central);
• receção documentada de instruções através de um endereço designado;
• controlo da subcontratação ao abrigo do § 5 do presente acordo.

---

Anexo 3 — Subcontratantes ulteriores

Aplica-se a Lista de subcontratantes ulteriores em vigor em cada momento, que faz parte integrante do presente contrato. As alterações são comunicadas nos termos do § 5.2.