Acordo de Tratamento de Dados (DPA) - RaiaWeb

Versão 1.0 - Última atualização: 11/06/2026

O presente Acordo de Tratamento de Dados («DPA») é celebrado nos termos do art. 28.º do Regulamento (UE) 2016/679 («RGPD») entre:

• Subcontratante: Alex Nabais Gomes, empresário em nome individual, a operar sob o nome comercial «RaiaWeb», NIF 268386625, Rua da Fonte Mestre, N.º 22, 6320-637 Soito, Portugal («RaiaWeb»); e
• Responsável pelo tratamento: o Cliente, conforme identificado na conta e nos Termos e Condições Gerais de Serviço («Termos»).

1. Âmbito e Aplicação Automática

1.1. Este DPA faz parte integrante dos Termos (cláusula 20.2) e aplica-se automaticamente, sem necessidade de assinatura autónoma, sempre que a prestação dos Serviços implique o tratamento de dados pessoais pela RaiaWeb por conta do Cliente - designadamente o alojamento de sites, aplicações, bases de dados, email ou outros conteúdos que incluam dados pessoais de terceiros.

1.2. Não está abrangido por este DPA o tratamento de dados pessoais do próprio Cliente efetuado pela RaiaWeb como responsável (conta, faturação, suporte), regulado pela Política de Privacidade.

1.3. Se o Cliente atuar, ele próprio, como subcontratante de um terceiro responsável pelo tratamento, o Cliente garante que as instruções que transmite à RaiaWeb refletem as instruções desse responsável, atuando a RaiaWeb como subcontratante ulterior. Para efeitos deste DPA, as referências ao «Cliente» incluem essa qualidade.

1.4. Em matéria de proteção de dados na relação responsável–subcontratante, este DPA prevalece sobre os Termos.

2. Definições

Os termos «dados pessoais», «tratamento», «responsável pelo tratamento», «subcontratante», «titular dos dados» e «violação de dados pessoais» têm o significado que lhes é atribuído pelo art. 4.º do RGPD. Os restantes termos com inicial maiúscula têm o significado definido nos Termos.

3. Objeto, Natureza e Duração do Tratamento

3.1. O objeto, a natureza, a finalidade e a duração do tratamento, bem como as categorias de titulares e de dados pessoais, constam do Anexo I.

3.2. O Cliente, enquanto responsável, determina as finalidades e os meios do tratamento e garante que dispõe de fundamento de licitude para os dados que aloja, sendo responsável pelo cumprimento dos deveres de informação e pelo exercício dos direitos dos titulares.

3.3. Categorias especiais de dados: os Serviços de alojamento partilhado não se destinam ao tratamento em larga escala de categorias especiais de dados (art. 9.º do RGPD) nem de dados relativos a condenações penais. O Cliente não deve alojar tais dados sem acordo prévio e escrito da RaiaWeb quanto às medidas adequadas.

4. Instruções do Cliente

4.1. A RaiaWeb trata os dados pessoais apenas mediante instruções documentadas do Cliente, incluindo no que respeita a transferências internacionais, salvo se obrigada por lei - caso em que informa o Cliente antes do tratamento, exceto se a lei o proibir por motivos importantes de interesse público.

4.2. Constituem instruções documentadas: os Termos, este DPA, as configurações e ações realizadas pelo Cliente nos Serviços (painel, Área de Cliente, APIs) e instruções adicionais escritas razoáveis e compatíveis com a natureza dos Serviços.

4.3. A RaiaWeb informa imediatamente o Cliente se, no seu entender, uma instrução violar o RGPD ou outra disposição legal de proteção de dados, podendo suspender a respetiva execução até clarificação.

5. Confidencialidade

A RaiaWeb assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a obrigação legal adequada de confidencialidade, e que apenas acedem aos dados na medida do necessário à prestação dos Serviços.

6. Segurança do Tratamento

6.1. A RaiaWeb implementa as medidas técnicas e organizativas adequadas previstas no Anexo II, tendo em conta as técnicas mais avançadas, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os titulares (art. 32.º do RGPD).

6.2. O Anexo II pode ser atualizado pela RaiaWeb desde que tal não reduza, de forma material, o nível global de segurança.

6.3. Nos serviços em que o Cliente administra o ambiente (designadamente VPS), a segurança da configuração, do sistema operativo e das aplicações instaladas é da responsabilidade do Cliente, nos termos da AUP.

7. Subcontratantes Ulteriores

7.1. O Cliente concede à RaiaWeb autorização geral para recorrer aos subcontratantes ulteriores identificados no Anexo III.

7.2. A RaiaWeb informa o Cliente de qualquer adição ou substituição de subcontratantes ulteriores com uma antecedência mínima de 30 dias (por email), podendo o Cliente apresentar objeções fundamentadas nesse prazo. Não sendo possível uma solução razoável, o Cliente pode resolver o serviço afetado, com reembolso proporcional do período pré-pago não usufruído.

7.3. A RaiaWeb impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste DPA e permanece responsável perante o Cliente pelo cumprimento dessas obrigações.

8. Assistência ao Cliente

8.1. Direitos dos titulares: tendo em conta a natureza do tratamento, a RaiaWeb presta ao Cliente a assistência razoável, através de medidas técnicas e organizativas adequadas, para que este cumpra os pedidos de exercício de direitos. Se um titular contactar diretamente a RaiaWeb relativamente a dados alojados pelo Cliente, a RaiaWeb não responde em substância e reencaminha o pedido para o Cliente, quando possível.

8.2. Avaliações de impacto e consultas prévias: a RaiaWeb presta a assistência razoável ao Cliente no cumprimento dos arts. 32.º a 36.º do RGPD, na medida da informação de que disponha.

8.3. A assistência razoável está incluída nos Serviços; pedidos manifestamente desproporcionados ou que exijam trabalhos específicos podem ser orçamentados como serviço adicional.

9. Violações de Dados Pessoais

9.1. A RaiaWeb notifica o Cliente sem demora injustificada - e, em qualquer caso, no prazo máximo de 72 horas - após ter conhecimento de uma violação de dados pessoais que afete os dados tratados por conta do Cliente.

9.2. A notificação inclui, na medida da informação disponível: a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis e as medidas adotadas ou propostas, podendo a informação ser prestada por fases.

9.3. Cabe ao Cliente, enquanto responsável, avaliar e efetuar as notificações à autoridade de controlo e aos titulares (arts. 33.º e 34.º do RGPD). A RaiaWeb presta a colaboração razoável para esse efeito.

10. Eliminação e Devolução dos Dados

10.1. Durante a vigência do contrato, o Cliente pode exportar os seus dados a qualquer momento através das ferramentas disponíveis (painel, FTP, backups).

10.2. Cessado o contrato, aplica-se o período de cortesia de 15 dias previsto na cláusula 23.3 dos Termos, durante o qual o Cliente pode exportar os dados. Findo esse período, a RaiaWeb elimina os dados pessoais de forma definitiva, salvo obrigação legal de conservação.

10.3. As cópias de segurança expiram pelo ciclo normal de retenção (7 dias), pelo que a eliminação de todos os sistemas, incluindo backups, fica concluída no prazo máximo de 30 dias após a cessação. A pedido do Cliente, a RaiaWeb confirma por escrito a eliminação.

11. Demonstração de Conformidade e Auditorias

11.1. A RaiaWeb disponibiliza ao Cliente a informação razoavelmente necessária para demonstrar o cumprimento das obrigações previstas no art. 28.º do RGPD, designadamente através deste DPA, dos seus Anexos e de respostas a questionários de segurança razoáveis.

11.2. O Cliente pode realizar auditorias, incluindo inspeções, diretamente ou através de auditor mandatado (que não seja concorrente da RaiaWeb), nas seguintes condições: pré-aviso mínimo de 30 dias; máximo de uma por ano civil, salvo na sequência de violação de dados relevante ou exigência de autoridade de controlo; em horário útil e sem perturbar a operação; sem acesso a dados de outros clientes ou a informação confidencial de terceiros; suportando o Cliente os respetivos custos.

11.3. Sempre que possível, as auditorias são satisfeitas, em primeira linha, pela documentação e informação referidas em 11.1.

12. Transferências Internacionais

O tratamento ao abrigo deste DPA é realizado em datacenters localizados na União Europeia (Portugal e França - Anexo III). A RaiaWeb não transfere os dados para fora do Espaço Económico Europeu; caso tal venha a ser necessário, fá-lo-á apenas com salvaguardas adequadas (decisão de adequação ou Cláusulas Contratuais-Tipo) e mediante informação prévia ao Cliente nos termos da cláusula 7.2.

13. Responsabilidade e Vigência

13.1. A responsabilidade das partes rege-se pelo art. 82.º do RGPD e pela cláusula 22 dos Termos.

13.2. Este DPA vigora enquanto a RaiaWeb tratar dados pessoais por conta do Cliente e cessa com a conclusão das obrigações de eliminação previstas na cláusula 10.

Anexo I - Descrição do Tratamento

Anexo II - Medidas Técnicas e Organizativas

• Encriptação em trânsito (TLS) nos serviços expostos; certificados SSL disponíveis para todos os domínios alojados;
• Isolamento entre contas de alojamento ao nível da plataforma;
• Cópias de segurança diárias com retenção de 7 dias;
• Controlo de acessos com princípio do menor privilégio; autenticação de dois fatores disponível na Área de Cliente;
• Atualizações e correções de segurança regulares da plataforma de alojamento, geridas em conjunto com os fornecedores de infraestrutura;
• Registo (logging) de eventos relevantes de acesso e segurança;
• Datacenters localizados na União Europeia, com controlo de acesso físico a cargo dos fornecedores de infraestrutura (Anexo III);
• Procedimento interno de resposta a incidentes e de notificação (cláusula 9).

Anexo III - Subcontratantes Ulteriores Autorizados

Alterações a esta lista são comunicadas nos termos da cláusula 7.2.