Versão inicial de trabalho · revisão legal formal programada antes do lançamento comercial. Este documento não substitui a firma do contrato principal de serviços.
Este DPA regula as responsabilidades da RAXAR como encarregada do tratamento quando tratamos dados pessoais por conta dos nossos clientes (controladores) no marco dos serviços contratados. Cumpre GDPR (UE 2016/679), Lei Orgânica 3/2018 (LOPDGDD) e normativa europeia sobre transferências internacionais.
1. Partes e Âmbito
Este Acordo de Tratamento de Dados ("DPA") regula as obrigações da RAXAR como encarregada do tratamento quando prestamos serviços a um cliente ("Responsável") que, no curso normal da contratação, nos instrui para tratar dados pessoais de terceiros (funcionários, clientes finais, prospects) em seu nome.
— Responsável pelo tratamento: o cliente que contrata os serviços RAXAR.
— Encarregado do tratamento: SOLUTIONS RAXAR, S.L. (marca «RAXAR») · NIF B88688205 · C/ Cardenal Parrado, 3, Esc. 2, 18013 Granada (Espanha).
— Objeto do tratamento: execução dos serviços SaaS contratados (automações, dashboards, agentes autônomos, integrações, formação, consultoria estratégica).
Este DPA se integra automaticamente no contrato principal firmado com o cliente. Prevalece sobre qualquer condição contraditória do contrato principal no relativo à proteção de dados.
2. Natureza e Finalidade do Tratamento
RAXAR tratará os dados pessoais do Responsável exclusivamente para as finalidades descritas no contrato de serviços:
— Prestação dos serviços SaaS contratados (processamento de leads, triagem de emails, scoring de candidatos, análise de documentos, monitorização de sistemas, etc.).
— Execução das automações e workflows configurados pelo cliente ou sob suas instruções.
— Armazenamento, processamento e devolução dos resultados ao cliente via plataforma RAXAR e canais integrados.
— Suporte técnico e resolução de incidentes (quando o cliente solicite expressamente).
RAXAR não utilizará os dados do Responsável para fins próprios (treino de modelos, benchmarking comercial, cessão a terceiros, perfilação cruzada entre clientes). O isolamento multi-tenant se aplica em nível de banco de dados via Row Level Security (RLS) e identificação por client_id em todas as operações.
3. Categorias de Interessados e Dados
Conforme o serviço contratado, os dados pessoais tratados podem incluir:
— Dados de contacto — nome, email, telefone, empresa, cargo.
— Dados profissionais — CV, experiência, formação (no caso de Gestão de Talento).
— Comunicações — emails recebidos/enviados, conversas de chat (no caso de Caixa Inteligente/Chat de Suporte IA).
— Dados financeiros operacionais — faturas, pedidos, documentos contábeis (no caso de Cobrança Inteligente e Inteligência Documental).
— Dados técnicos — logs, métricas de uso, identificadores de sessão (para monitorização e análise).
O Responsável garante ter obtido as bases legais adequadas para que a RAXAR possa tratar estes dados em seu nome.
4. Obrigações do Encarregado (RAXAR)
RAXAR se compromete a:
— Tratar os dados pessoais unicamente seguindo instruções documentadas do Responsável.
— Garantir que o pessoal autorizado para tratar os dados esteja sujeito a deveres de confidencialidade vinculantes.
— Aplicar medidas técnicas e organizacionais apropriadas conforme art. 32 GDPR (ver seção 6).
— Assistir o Responsável no cumprimento de suas obrigações GDPR, incluindo:
· Atenção a direitos dos interessados (acesso, retificação, apagamento, portabilidade, limitação, oposição) em prazo máximo de 15 dias corridos desde a solicitação.
· Avaliações de impacto (DPIA) relativas aos tratamentos realizados pela RAXAR.
· Notificação de brechas de segurança (sem atraso indevido, nunca além de 48 horas desde conhecimento).
— Permitir auditorias razoáveis pelo Responsável ou auditor externo designado, com notificação prévia de 30 dias corridos.
— Devolver ou suprimir os dados pessoais ao finalizar a prestação dos serviços, conforme instruções do Responsável (ver seção 8).
5. Sub-Encarregados do Tratamento
RAXAR utiliza os seguintes sub-encarregados do tratamento para prestar os serviços contratados. O cliente dá seu consentimento geral ao sub-encarrego com a firma do contrato; qualquer mudança substancial será notificada com 30 dias de antecedência para permitir objeção motivada.
— Hostinger International Ltd. (Chipre) — Hosting VPS (servidores na UE).
— Cloudflare (armazenamento de objetos R2 · depósito restrito à União Europeia) — Custódia das cópias de segurança externas. O ficheiro é cifrado na origem —conteúdo e nomes de ficheiro— com uma chave que a RAXAR custodia em exclusivo, pelo que o fornecedor não pode aceder ao seu conteúdo. O fornecedor pertence a um grupo com matriz nos EUA. O tratamento rege-se pelo Acordo de Tratamento de Dados padrão da Cloudflare, que faz parte das suas condições de serviço e incorpora as Cláusulas Contratuais-Tipo.
— Cloudflare (DNS autoritativo) — Resolução de nomes dos domínios da RAXAR. Não intervém como rede de distribuição de conteúdos: os domínios resolvem diretamente contra o servidor da RAXAR na União Europeia.
— Scaleway SAS (França · região de Paris) — Inferência de modelos de linguagem: provedor principal de 8 dos 9 agentes internos da RAXAR. Dados hospedados e processados na União Europeia, sem transferência internacional. Acordo de tratamento de dados pendente de formalização.
— Anthropic Ireland, Limited (Irlanda), com o seu grupo —entre outras, a Anthropic PBC, nos EUA— e os subencarregados da sua lista pública — Modelos Claude para o Chat de Suporte IA, os agentes e o trabalho da equipa da RAXAR com a conta empresarial do Claude (plano «Team»), na qual a Anthropic atua como encarregado segundo as suas condições comerciais e o seu acordo de tratamento. Armazena os dados nos EUA e pode tratá-los também noutros países; a saída para fora do EEE é feita pela Anthropic Ireland para o seu grupo e os seus subencarregados, e o seu acordo não especifica com que mecanismo do Capítulo V do RGPD (ver a secção 7).
— Groq (para clientes do EEE, segundo o seu acordo de serviços, Groq UK Limited, Reino Unido; pode tratar os dados nos EUA e noutros países onde a Groq ou os seus subencarregados operam) — Processamento NLP de alta velocidade. O seu acordo de tratamento de dados (em vigor desde 15 de outubro de 2025), que faz parte das suas condições de serviço, incorpora as Cláusulas Contratuais Tipo (módulos 2 e 3) na medida em que sejam legalmente necessárias; para a saída para os EUA e para os seus subencarregados compromete-se a um mecanismo legal sem especificar qual.
— Google LLC (EUA) — Modelos Gemini para o agente interno de geração de conteúdo de marketing. Transferência internacional ao abrigo do Data Processing Addendum for Products Where Google is a Data Processor, que incorpora as Cláusulas Contratuais Padrão aprovadas pela Comissão Europeia e o Quadro de Privacidade de Dados UE-EUA.
— PostHog Inc. (EU Cloud) — Analytics de produto. Servidores UE.
— Stripe Payments Europe Ltd. (Irlanda) — Processamento de pagamentos (só dados de faturamento B2B, sem acesso a dados de interessados do cliente).
— Sanity.io (Noruega / EEE) — Gestão de conteúdo público (sem dados pessoais do cliente).
— Telegram FZ LLC (fora do Espaço Económico Europeu) — Notificações operacionais internas à equipa da RAXAR. Os alertas decorrentes dos tratamentos do Responsável não incluem dados identificativos dos interessados —nem nome, nem correio eletrónico, nem telefone, nem o conteúdo da sua consulta—: apenas o tipo de aviso, a hora e um identificador interno de registo (pseudonimização: esse identificador permite localizar o registo nos sistemas da RAXAR, mas não viaja acompanhado de dados pessoais).
O que esta página não dizia até 22 de outubro de 2026. Desde pelo menos junho e até 21 de outubro de 2026 (e, num caso que estamos a verificar, em maio) tratámos dados pessoais do encargo de um cliente com serviços de inteligência artificial que não constavam desta relação, ou em condições diferentes das aqui descritas:
— Subscrições individuais do Claude (planos «Pro» e «Max» da Anthropic), com as condições da Anthropic para consumidores: a Anthropic trata o que recebe por essa via como responsável, não como nosso encarregado, nos EUA e noutros países fora do Espaço Económico Europeu, e sem acordo de tratamento de dados.
— A conta empresarial do Claude (plano «Team»), sem a autorização prévia desse cliente.
— O nosso assistente interno de operações enviou fragmentos de documentos com endereços de email desse cliente à Scaleway (França), à opencode.ai (um serviço de acesso a modelos de linguagem; estamos a verificar quem o presta e onde trata os dados) e, possivelmente, à Groq (EUA).
— De 22 a 26 de setembro de 2026, alguns avisos internos por Telegram levaram dados identificativos e o conteúdo de respostas a um questionário.
— Estamos a verificar se intervieram outros serviços: GitHub, Codex, Grok Bot, Cursor, DeepSeek (em maio, antes de prestarmos os serviços) e um classificador de email que usa a Groq.
Notificámos esse cliente de uma violação da segurança dos dados pessoais (artigo 33.º do RGPD).
A lista completa e atualizada é o Anexo III. Notificações de mudanças são enviadas ao email de contacto registado do Responsável com 30 dias de antecedência.
6. Medidas de Segurança (art. 32 GDPR)
RAXAR aplica as seguintes medidas técnicas e organizacionais, revisadas periodicamente:
Técnicas:
— Criptografia em trânsito (TLS 1.3) para todas comunicações entre cliente, dashboard e backend.
— As cópias de segurança externas viajam e são armazenadas cifradas na origem —conteúdo e nomes de ficheiro— com uma chave que o fornecedor de armazenamento não possui.
— Isolamento multi-tenant via Row Level Security (RLS) em PostgreSQL com 140+ políticas ativas no schema de produção.
— Autenticação multifator (2FA) obrigatória para acesso administrativo à plataforma.
— Rotação periódica de credenciais e tokens de acesso (trimestral mínimo; incidente → imediata).
— Logging centralizado, monitorização em tempo real (Uptime Kuma, GlitchTip) e guardrails nas chamadas dos agentes internos e do painel a sistemas de IA (não em todas: o detalhe, na Política de Privacidade).
— Backups automáticos diários com retenção offsite em localização geograficamente separada.
— Sandboxing e validação estrita (allowlist) para qualquer execução de código gerado por IA.
Organizacionais:
— Princípio de mínimo privilégio e RBAC granular (4 papéis: superadmin, admin, team, client).
— Compromisso de confidencialidade assinado por todo pessoal com acesso a dados.
— Política documentada de resposta a incidentes com RTO/RPO definidos.
— Formação em GDPR e segurança para a equipa.
— Revisão anual de provedores e sub-encarregados.
7. Transferências Internacionais
Quando um serviço requer transferir dados para um país fora do Espaço Econômico Europeu (EEE), a RAXAR exige:
— Transferência para países com decisão de adequação da Comissão Europeia, ou
— Cláusulas Contratuais Padrão (SCCs 2021/914) em vigor, complementadas com medidas adicionais requeridas após sentença Schrems II (C-311/18), ou
— Normas Corporativas Vinculantes (BCRs) aplicáveis do sub-encarregado.
Com a Anthropic não podemos demonstrar hoje qual destas garantias cobre a saída para fora do EEE feita pelo próprio fornecedor. Com a Groq, a contraparte está no Reino Unido, que tem decisão de adequação, mas não podemos demonstrar qual cobre o tratamento posterior nos EUA (ver abaixo).
Os sub-encarregados atuais com transferência internacional de dados pessoais são Anthropic, Groq e Google (EUA). No caso da Anthropic, a contraparte é a Anthropic Ireland, Limited, dentro do EEE; a saída para fora do EEE é feita pela Anthropic Ireland para o seu grupo e os seus subencarregados, e o seu acordo de tratamento obriga-a a impor-lhes obrigações de proteção substancialmente equivalentes e a responder por eles, mas não especifica com que mecanismo do Capítulo V do RGPD, e não o temos por escrito da Anthropic. No caso da Groq, o seu acordo de tratamento de dados (em vigor desde 15 de outubro de 2025), que faz parte das suas condições de serviço, incorpora as Cláusulas Contratuais Tipo (módulos 2 e 3) na medida em que sejam legalmente necessárias; para a saída para os EUA e para os seus subencarregados compromete-se a um mecanismo legal sem especificar qual. As transferências para a Google são realizadas ao abrigo do Data Processing Addendum for Products Where Google is a Data Processor, que incorpora as Cláusulas Contratuais Padrão aprovadas pela Comissão Europeia e o Quadro de Privacidade de Dados UE-EUA; as garantias do Capítulo V do GDPR estão formalizadas e em vigor desde a contratação do serviço. A Telegram FZ LLC está também fora do EEE, mas não figura entre os anteriores porque recebe unicamente avisos operacionais internos sem dados identificativos dos interessados: tipo de aviso, hora e identificador interno de registo. A inferência dos demais agentes internos é executada na Scaleway SAS (França), dentro do EEE e sem transferência internacional. Se o cliente objetar motivadamente uma transferência específica, RAXAR oferecerá alternativas disponíveis (ex. roteamento a modelos locais na torre RAXAR via privacy_mode) ou, se não fosse possível manter o serviço sem tal transferência, extinção do serviço afetado.
8. Retenção e Devolução / Supressão
Durante a vigência do contrato, RAXAR conservará os dados pelo tempo estritamente necessário para prestação dos serviços, conforme instruções do Responsável.
Ao finalizar o contrato (por qualquer causa), o Responsável dispõe de 30 dias corridos para escolher:
— Devolução dos dados em formato estruturado (CSV, JSON, SQL dump), ou
— Supressão certificada de todos os dados tratados, incluindo cópias de backup.
Transcorridos os 30 dias sem instrução, RAXAR procederá por default à supressão certificada. Os backups offsite são purgados segundo ciclo estabelecido (retenção máxima: 90 dias pós-supressão). RAXAR emitirá certificado de supressão sob solicitação.
RAXAR poderá conservar os dados estritamente necessários para cumprir obrigações legais próprias (faturamento fiscal, defesa de reclamações) pelo mínimo tempo legalmente exigido.
9. Notificação de Brechas de Segurança
Se RAXAR tiver conhecimento de violação da segurança dos dados pessoais tratados por conta do Responsável (nos termos do art. 4.12 GDPR), notificará o Responsável sem atraso indevido e, em todo caso, dentro das 48 horas seguintes ao conhecimento.
A notificação incluirá, na medida disponível:
— Natureza da violação e categorias / volume aproximado de interessados e dados afetados.
— Consequências prováveis e medidas adotadas ou propostas para mitigar efeitos.
— Dados de contacto do Responsável de Segurança da RAXAR.
— Estado da investigação e plano de notificação a interessados e autoridades, se aplicar.
RAXAR manterá registo interno de brechas à disposição do Responsável ou autoridades de controlo.
10. Direitos dos Interessados
RAXAR assistirá o Responsável na atenção de solicitações dos interessados (direitos de acesso, retificação, apagamento, limitação, portabilidade e oposição) via:
— Canal dedicado para transmissão de solicitações: privacidad@raxar.es.
— Ferramentas self-service na plataforma RAXAR quando o volume justifique.
— Resposta técnica dentro de 15 dias corridos desde recepção da solicitação do Responsável, para permitir responder ao interessado dentro do prazo legal de 30 dias.
O Responsável é o único legitimado para responder diretamente ao interessado; RAXAR não contatará o interessado por iniciativa própria salvo instrução explícita.
11. Vigência, Lei Aplicável e Resolução
Este DPA entra em vigor com a firma do contrato principal de serviços e permanece vigente enquanto durar tal contrato + período de retenção posterior (seção 8).
Rege-se pela legislação espanhola e europeia aplicável em matéria de proteção de dados (GDPR, LOPDGDD). Para qualquer controvérsia relacionada a este DPA, as partes se submetem com renúncia expressa a qualquer outro foro aos Juízos e Tribunais da cidade de Algeciras (Espanha), salvo que a normativa aplicável ao Responsável ou aos interessados imponha outro foro obrigatório.
Qualquer modificação deste DPA requererá acordo por escrito. RAXAR poderá atualizar a lista de sub-encarregados e as medidas de segurança conforme procedimentos descritos nas seções 5 e 6, comunicando ao Responsável com a antecedência prevista.
12. Avaliação de Impacto (DPIA)
RAXAR põe à disposição do Responsável, sob solicitação, a seguinte documentação para assistir na realização da Data Protection Impact Assessment (DPIA · Art. 35 GDPR):
— Ficha técnica dos tratamentos realizados pelos nossos sistemas.
— Diagrama de fluxos de dados e sub-encarregados intervenientes.
— Avaliação de riscos e medidas de mitigação aplicadas (dos nossos templates internos).
— Registo de atividades de tratamento (RAT · Art. 30) relativo aos serviços contratados.
Solicitações a privacidad@raxar.es · resposta em 15 dias corridos.
13. Contacto
Para qualquer questão relacionada a este DPA ou à proteção de dados pessoais na RAXAR:
— Email dedicado: privacidad@raxar.es
— Contacto geral: hello@raxar.es
— Contacto legal: legal@raxar.es
— Responsável designado (DPO): RAXAR não está legalmente obrigada a designar DPO (Art. 37 GDPR). Canal dedicado privacidad@raxar.es gerido pela equipa de direção com responsabilidade formal em proteção de dados.
A autoridade de controlo competente na Espanha é a Agência Espanhola de Proteção de Dados (AEPD, www.aepd.es). Interessados afetados por tratamentos realizados pela RAXAR como encarregada podem apresentar reclamação ante AEPD ou autoridade competente de sua residência.
Anexo I · Detalhes do Tratamento
Objeto: prestação de serviços SaaS de automação e inteligência artificial segundo contrato principal.
Duração: enquanto estiver em vigor o contrato de serviços + período de retenção pós-terminação definido na seção 8.
Natureza do tratamento: recolha, estruturação, armazenamento, consulta, uso, comunicação (ao próprio Responsável), conservação, supressão ou destruição de dados pessoais.
Finalidade específica: prestação das funcionalidades do produto contratado (ex. triagem automática de emails, scoring de leads, etc.).
Tipo de dados pessoais: dados de contacto, profissionais, comunicações, dados financeiros operacionais e dados técnicos segundo serviço (detalhado na seção 3).
Categorias de interessados: funcionários, clientes, prospects, candidatos e qualquer outra pessoa física cujos dados o Responsável introduza ou autorize processamento na plataforma RAXAR.
Anexo II · Medidas Técnicas e Organizacionais (TOMs)
Medidas implementadas pela RAXAR conforme Art. 32 GDPR:
A. Pseudonimização e criptografia de dados pessoais:
— Criptografia em trânsito TLS 1.3.
— As cópias de segurança externas viajam e são armazenadas cifradas na origem —conteúdo e nomes de ficheiro— com uma chave que o fornecedor de armazenamento não possui.
— Pseudonimização lógica via tenant_id em todas as tabelas operacionais.
B. Confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas:
— RLS (Row Level Security) com 140+ políticas ativas.
— 2FA obrigatório para administradores.
— Backups diários automáticos com verificação de integridade.
— Arquitetura resiliente com containers auto-healing e vigilância automática contínua com alerta.
C. Capacidade de restaurar disponibilidade e acesso aos dados de forma rápida em caso de incidente:
— RPO objetivo: 24 horas.
— RTO objetivo: 4 horas para serviços críticos · 8h para não críticos.
— Runbooks de resposta a incidentes documentados.
D. Processo de verificação, avaliação e valoração regulares da eficácia:
— Auditorias técnicas trimestrais.
— Testes de disaster recovery semestrais.
— Revisão anual de provedores e sub-encarregados.
— Logs centralizados com retenção 90 dias para forensics.
Anexo III · Sub-Encarregados Autorizados
Lista atualizada de sub-encarregados com acesso potencial a dados pessoais do Responsável. Este anexo é a lista vigente e notifica-se por email ao Responsável qualquer mudança substancial com 30 dias de antecedência.
Infraestrutura:
— Hostinger International Ltd. (Chipre · servidores na UE · ISO 27001 segundo o fornecedor) · hosting VPS.
— Cloudflare (armazenamento de objetos R2 · depósito restrito à UE) · cópias de segurança externas, cifradas na origem com chave que o fornecedor não possui · tratamento regido pelo Acordo de Tratamento de Dados padrão da Cloudflare, que faz parte das suas condições de serviço e incorpora as Cláusulas Contratuais-Tipo.
— Cloudflare (DNS autoritativo) · resolução de nomes dos domínios da RAXAR · não atua como rede de distribuição de conteúdos.
Modelos IA · via europeia (sem transferência internacional):
— Scaleway SAS (França · região de Paris) · inferência de modelos de linguagem para os agentes internos da RAXAR ('gpt-oss-120b' e 'mistral-medium-3.5-128b') · provedor principal por volume. Acordo de tratamento de dados pendente de formalização.
Modelos IA (transferência internacional):
— Anthropic Ireland, Limited (Irlanda), com o seu grupo e a sua lista pública de subencarregados · modelos Claude, incluindo a conta empresarial (plano «Team») · armazenamento nos EUA; mecanismo de transferência não especificado no seu acordo (secção 7) · com dados de um cliente, só com a sua autorização prévia por escrito (artigo 28.º, n.º 2, do RGPD). Enquanto é pedida, as tarefas já iniciadas e comunicadas ao cliente continuam sem essa autorização; para tudo o resto, só dados inventados e contagens.
— Groq (Groq UK Limited para clientes do EEE; tratamento nos EUA e noutros países) · processamento NLP rápido · Cláusulas Contratuais Tipo (módulos 2 e 3) na medida legalmente necessária; saída para os EUA sem mecanismo especificado (secção 7).
— Google LLC (EUA) · modelos Gemini ('gemini-2.5-flash') para o agente interno de geração de conteúdo de marketing · transferência ao abrigo do Data Processing Addendum for Products Where Google is a Data Processor, que incorpora as Cláusulas Contratuais Padrão da Comissão Europeia e o Quadro de Privacidade de Dados UE-EUA.
— OpenAI Ireland Ltd. (Irlanda, com transferências para os EUA) · respaldo e transbordo · sem uso registado no período atual.
Analytics e observabilidade:
— PostHog Inc. (EU Cloud) · analytics de produto agregado anonimizado.
— GlitchTip (self-hosted na nossa infraestrutura UE) · error tracking técnico.
Comunicação e email:
— Infraestrutura self-hosted Stalwart (UE · sem sub-encarregado externo de email).
— Telegram FZ LLC (fora do Espaço Económico Europeu) · notificações operacionais internas à equipa da RAXAR. Os alertas decorrentes dos tratamentos do Responsável não incluem dados identificativos dos interessados —nem nome, nem correio eletrónico, nem telefone, nem o conteúdo da sua consulta—: apenas o tipo de aviso, a hora e um identificador interno de registo (pseudonimização: esse identificador permite localizar o registo nos sistemas da RAXAR, mas não viaja acompanhado de dados pessoais).
Pagamentos:
— Stripe Payments Europe Ltd. (Irlanda · UE) · processamento de pagamentos (dados de faturamento B2B do Responsável · sem dados de interessados).
CMS conteúdo público:
— Sanity.io (Noruega · EEE) · sem dados pessoais do Responsável.
O Responsável pode objetar motivadamente qualquer sub-encarregado em prazo de 30 dias corridos desde a notificação. Se não fosse possível manter o serviço afetado sem esse sub-encarregado, as partes acordarão solução razoável (alternativa técnica, exclusão do serviço afetado, ou resolução parcial sem penalidade).