Acordo de Tratamento de Dados (DPA) - RaiaWeb

Versão 1.2 - Última atualização: 18/07/2026

O presente Acordo de Tratamento de Dados («DPA») é celebrado nos termos do art. 28.º do Regulamento (UE) 2016/679 («RGPD») entre:

• Subcontratante: Alex Nabais Gomes, empresário em nome individual, a operar sob o nome comercial «RaiaWeb», NIF 268386625, Rua da Fonte Mestre, N.º 22, 6320-637 Soito, Portugal («RaiaWeb»); e
• Responsável pelo tratamento: o Cliente, conforme identificado na conta e nos Termos e Condições Gerais de Serviço («Termos»).

1. Âmbito e Aplicação Automática

1.1. Este DPA faz parte integrante dos Termos (cláusula 20.2) e aplica-se automaticamente, sem necessidade de assinatura autónoma, sempre que a prestação dos Serviços implique o tratamento de dados pessoais pela RaiaWeb por conta do Cliente - designadamente o alojamento de sites, aplicações, bases de dados, email ou outros conteúdos que incluam dados pessoais de terceiros, bem como os Serviços de Manutenção e os Serviços SEO (Anexo C dos Termos), na medida em que impliquem o acesso a dados pessoais tratados por conta do Cliente.

1.2. Não está abrangido por este DPA o tratamento de dados pessoais do próprio Cliente efetuado pela RaiaWeb como responsável (conta, faturação, suporte), regulado pela Política de Privacidade.

1.3. Se o Cliente atuar, ele próprio, como subcontratante de um terceiro responsável pelo tratamento, o Cliente garante que as instruções que transmite à RaiaWeb refletem as instruções desse responsável, atuando a RaiaWeb como subcontratante ulterior. Para efeitos deste DPA, as referências ao «Cliente» incluem essa qualidade.

1.4. Em matéria de proteção de dados na relação responsável-subcontratante, este DPA prevalece sobre os Termos.

1.5. Exclusão - software self-hosted (TapNTable): este DPA não se aplica ao licenciamento do software TapNTable instalado nos sistemas do próprio Cliente: os dados tratados através desse software permanecem nos sistemas do Cliente, que é o único responsável pelo respetivo tratamento, não tendo a RaiaWeb qualquer acesso. Os dados tratados pela RaiaWeb no âmbito da verificação de licenças e das atualizações são tratados pela RaiaWeb como responsável, nos termos da Política de Privacidade. Se, no âmbito do suporte técnico, a RaiaWeb aceder pontualmente e a pedido do Cliente aos sistemas deste, esse acesso é efetuado por conta do Cliente, aplicando-se, com as devidas adaptações, as obrigações de confidencialidade e segurança deste DPA durante a sessão de assistência. Se o Cliente optar por alojar o TapNTable num serviço de alojamento da RaiaWeb, o tratamento dos dados alojados rege-se por este DPA nos termos gerais aplicáveis ao alojamento (cláusula 1.1) - é o serviço de alojamento, e não o licenciamento do software, que determina a aplicação do DPA.

2. Definições

Os termos «dados pessoais», «tratamento», «responsável pelo tratamento», «subcontratante», «titular dos dados» e «violação de dados pessoais» têm o significado que lhes é atribuído pelo art. 4.º do RGPD. Os restantes termos com inicial maiúscula têm o significado definido nos Termos.

3. Objeto, Natureza e Duração do Tratamento

3.1. O objeto, a natureza, a finalidade e a duração do tratamento, bem como as categorias de titulares e de dados pessoais, constam do Anexo I.

3.2. O Cliente, enquanto responsável, determina as finalidades e os meios do tratamento e garante que dispõe de fundamento de licitude para os dados que aloja, sendo responsável pelo cumprimento dos deveres de informação e pelo exercício dos direitos dos titulares.

3.3. Categorias especiais de dados: os Serviços de alojamento partilhado não se destinam ao tratamento em larga escala de categorias especiais de dados (art. 9.º do RGPD) nem de dados relativos a condenações penais. O Cliente não deve alojar tais dados sem acordo prévio e escrito da RaiaWeb quanto às medidas adequadas.

4. Instruções do Cliente

4.1. A RaiaWeb trata os dados pessoais apenas mediante instruções documentadas do Cliente, incluindo no que respeita a transferências internacionais, salvo se obrigada por lei - caso em que informa o Cliente antes do tratamento, exceto se a lei o proibir por motivos importantes de interesse público.

4.2. Constituem instruções documentadas: os Termos, este DPA, as configurações e ações realizadas pelo Cliente nos Serviços (painel, Área de Cliente, APIs) e instruções adicionais escritas razoáveis e compatíveis com a natureza dos Serviços.

4.3. A RaiaWeb informa imediatamente o Cliente se, no seu entender, uma instrução violar o RGPD ou outra disposição legal de proteção de dados, podendo suspender a respetiva execução até clarificação.

5. Confidencialidade

A RaiaWeb assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a obrigação legal adequada de confidencialidade, e que apenas acedem aos dados na medida do necessário à prestação dos Serviços.

6. Segurança do Tratamento

6.1. A RaiaWeb implementa as medidas técnicas e organizativas adequadas previstas no Anexo II, tendo em conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os titulares (art. 32.º do RGPD).

6.2. O Anexo II pode ser atualizado pela RaiaWeb desde que tal não reduza, de forma material, o nível global de segurança.

6.3. Nos serviços em que o Cliente administra o ambiente (designadamente VPS), a segurança da configuração, do sistema operativo e das aplicações instaladas é da responsabilidade do Cliente, nos termos da AUP - salvo quando o Cliente tenha contratado Serviços de Manutenção, caso em que a segurança das componentes abrangidas pelo plano é assegurada pela RaiaWeb, na exata medida do Anexo C.1 dos Termos.

7. Subcontratantes Ulteriores

7.1. O Cliente concede à RaiaWeb autorização geral para recorrer aos subcontratantes ulteriores identificados no Anexo III.

7.2. A RaiaWeb informa o Cliente de qualquer adição ou substituição de subcontratantes ulteriores com uma antecedência mínima de 30 dias (por email), podendo o Cliente apresentar objeções fundamentadas nesse prazo. Não sendo possível uma solução razoável, o Cliente pode resolver o serviço afetado, com reembolso proporcional do período pré-pago não usufruído.

7.3. A RaiaWeb impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste DPA e permanece responsável perante o Cliente pelo cumprimento dessas obrigações.

8. Assistência ao Cliente

8.1. Direitos dos titulares: tendo em conta a natureza do tratamento, a RaiaWeb presta ao Cliente a assistência razoável, através de medidas técnicas e organizativas adequadas, para que este cumpra os pedidos de exercício de direitos. Se um titular contactar diretamente a RaiaWeb relativamente a dados alojados pelo Cliente, a RaiaWeb não responde em substância e reencaminha o pedido para o Cliente, quando possível.

8.2. Avaliações de impacto e consultas prévias: a RaiaWeb presta a assistência razoável ao Cliente no cumprimento dos arts. 32.º a 36.º do RGPD, na medida da informação de que disponha.

8.3. A assistência razoável está incluída nos Serviços; pedidos manifestamente desproporcionados ou que exijam trabalhos específicos podem ser orçamentados como serviço adicional.

9. Violações de Dados Pessoais

9.1. A RaiaWeb notifica o Cliente sem demora injustificada - e, em qualquer caso, no prazo máximo de 72 horas - após ter conhecimento de uma violação de dados pessoais que afete os dados tratados por conta do Cliente.

9.2. A notificação inclui, na medida da informação disponível: a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis e as medidas adotadas ou propostas, podendo a informação ser prestada por fases.

9.3. Cabe ao Cliente, enquanto responsável, avaliar e efetuar as notificações à autoridade de controlo e aos titulares (arts. 33.º e 34.º do RGPD). A RaiaWeb presta a colaboração razoável para esse efeito.

10. Eliminação e Devolução dos Dados

10.1. Durante a vigência do contrato, o Cliente pode exportar os seus dados a qualquer momento através das ferramentas disponíveis (painel, FTP, backups). A exportação e a assistência à mudança de prestador regem-se pelo Anexo B dos Termos e são gratuitas.

10.2. Cessado o contrato, aplica-se o período de recuperação de 30 dias previsto na cláusula 23.3 dos Termos e no Anexo B (art. 25.º do Regulamento (UE) 2023/2854), durante o qual o Cliente pode exportar os dados. Findo esse período, a RaiaWeb elimina os dados pessoais de forma definitiva, salvo obrigação legal de conservação.

10.3. As cópias de segurança expiram pelo ciclo normal de retenção (7 dias), pelo que a eliminação de todos os sistemas, incluindo backups, fica concluída no prazo máximo de 45 dias após a cessação. A pedido do Cliente, a RaiaWeb confirma por escrito a eliminação.

11. Demonstração de Conformidade e Auditorias

11.1. A RaiaWeb disponibiliza ao Cliente a informação razoavelmente necessária para demonstrar o cumprimento das obrigações previstas no art. 28.º do RGPD, designadamente através deste DPA, dos seus Anexos e de respostas a questionários de segurança razoáveis.

11.2. O Cliente pode realizar auditorias, incluindo inspeções, diretamente ou através de auditor mandatado (que não seja concorrente da RaiaWeb), nas seguintes condições: pré-aviso mínimo de 30 dias; máximo de uma por ano civil, salvo na sequência de violação de dados relevante ou exigência de autoridade de controlo; em horário útil e sem perturbar a operação; sem acesso a dados de outros clientes ou a informação confidencial de terceiros; suportando o Cliente os respetivos custos.

11.3. Sempre que possível, as auditorias são satisfeitas, em primeira linha, pela documentação e informação referidas em 11.1.

12. Transferências Internacionais

12.1. O tratamento relativo ao alojamento partilhado e ao email é realizado em datacenters localizados em Portugal (Anexo III). A RaiaWeb não transfere esses dados para fora do Espaço Económico Europeu.

12.2. Nos servidores virtuais (VPS), a região do datacenter é escolhida pelo Cliente no processo de encomenda, de entre as regiões disponíveis, que incluem regiões na União Europeia e regiões em países terceiros. A lista das regiões e das respetivas jurisdições consta da página Mudança de Prestador e Transparência, publicada no Website, e é parte integrante deste DPA.

12.3. A escolha pelo Cliente de uma região situada fora da União Europeia constitui uma instrução documentada para efeitos da cláusula 4.1, e é da responsabilidade do Cliente, enquanto responsável pelo tratamento, avaliar a licitude dessa transferência à luz do Capítulo V do RGPD. A RaiaWeb não altera a região escolhida sem instrução do Cliente.

12.4. As transferências para países relativamente aos quais não exista decisão de adequação da Comissão Europeia realizam-se ao abrigo de Cláusulas Contratuais-Tipo celebradas com o fornecedor de infraestrutura. A pedido, a RaiaWeb disponibiliza informação ou cópia das salvaguardas aplicáveis.

12.5. O Cliente que pretenda que o tratamento ocorra exclusivamente na União Europeia deve selecionar uma região da UE no momento da encomenda.

13. Responsabilidade e Vigência

13.1. A responsabilidade das partes rege-se pelo art. 82.º do RGPD e pela cláusula 22 dos Termos.

13.2. Este DPA vigora enquanto a RaiaWeb tratar dados pessoais por conta do Cliente e cessa com a conclusão das obrigações de eliminação previstas na cláusula 10.

Anexo I - Descrição do Tratamento

Anexo II - Medidas Técnicas e Organizativas

• Encriptação em trânsito (TLS) nos serviços expostos; certificados SSL disponíveis para todos os domínios alojados;
• Isolamento entre contas de alojamento ao nível da plataforma;
• Cópias de segurança diárias com retenção de 7 dias;
• Controlo de acessos com princípio do menor privilégio; autenticação de dois fatores disponível na Área de Cliente;
• Atualizações e correções de segurança regulares da plataforma de alojamento, geridas em conjunto com os fornecedores de infraestrutura;
• Registo (logging) de eventos relevantes de acesso e segurança;
• Painéis internos de gestão e de monitorização acessíveis apenas por autenticação mútua com certificado (mTLS), emitido por autoridade de certificação interna e limitado aos dispositivos autorizados, não sendo acessíveis por password;
• Isolamento dos painéis internos ao nível do sistema operativo: utilizador de sistema, ambiente de execução, base de dados e diretório próprios, com restrição do acesso ao sistema de ficheiros;
• Credenciais de acesso a sistemas do Cliente conservadas exclusivamente no painel de gestão referido, nunca em documentos, mensagens de correio eletrónico ou registos de suporte;
• Cópias de segurança realizadas ao abrigo dos Serviços de Manutenção cifradas em repouso, conservadas em infraestrutura na União Europeia, com retenção de 7 dias;
• Datacenters com controlo de acesso físico a cargo dos fornecedores de infraestrutura (Anexo III), localizados em Portugal no alojamento partilhado e email e, nos VPS, na região escolhida pelo Cliente nos termos da cláusula 12;
• Procedimento interno de resposta a incidentes e de notificação (cláusula 9).

Anexo III - Subcontratantes Ulteriores Autorizados

Alterações a esta lista são comunicadas nos termos da cláusula 7.2.