Acordo de Tratamento de Dados
Última atualização: 25 de outubro de 2026 · versão 2026-10-27b
Este Acordo de Tratamento de Dados («ATD»), celebrado ao abrigo do artigo 28.º do RGPD, faz parte dos Termos e Condições entre si, a empresa que usa a Zaags (o «Responsável»), e a RUDLU Unipessoal Lda (NIPC 516730304, 27A Rua da Bela Vista à Graça, 1170-058 Lisboa, Portugal, o «Subcontratante»). Aplica-se sempre que a Zaags trata dados pessoais dos seus clientes, potenciais clientes, hóspedes, trabalhadores ou contactos por sua conta. Aceita-o ao ativar uma funcionalidade empresarial (um site com reservas ou loja, ZaagsForce, Presence, CRM, Request Desk, Follow-up); registamos a data e a versão.
1. Objeto, duração, natureza e finalidade
O tratamento consiste em alojar, armazenar, apresentar, transmitir, salvaguardar e apagar os dados gerados pela sua utilização das funcionalidades, enquanto as usar e até os dados serem apagados nos termos da secção 8. Finalidade: prestar as funcionalidades que configura, e nada mais.
2. Dados e titulares
Titulares: os seus clientes e hóspedes, potenciais clientes e leads, fornecedores, trabalhadores e prestadores, visitantes do site. Dados: identificação e contactos, detalhes de reservas e encomendas, mensagens e pedidos, estado de pagamento (nunca números de cartão completos), registos de assiduidade (horas, localizações, fotografias de registo), notas e atividade de CRM, provas de consentimento de cookies. Não deve carregar dados de categorias especiais (saúde, biometria além da fotografia de registo, dados criminais) sem fundamento lícito e sem nos informar.
3. As suas obrigações
É o Responsável: decide porque e como os dados são usados, tem um fundamento lícito e presta aos titulares a informação exigida (aviso de privacidade no seu site, informação aos seus trabalhadores), e usa as funcionalidades de forma lícita. As suas instruções são as definições que faz no produto e as instruções documentadas nos Termos.
4. As nossas obrigações
- Tratamos os dados apenas segundo as suas instruções documentadas e nunca para fins próprios; não os usamos para treinar modelos de IA nem os vendemos.
- A nossa equipa está vinculada à confidencialidade e não acede aos dados dos seus clientes, salvo quando concede acesso de apoio por tempo limitado ou a lei o exija.
- Aplicamos as medidas de segurança da secção 6.
- Ajudamo-lo a responder a pedidos dos titulares (as ferramentas de exportação, eliminação e retificação estão integradas) e apoiamo-lo em avaliações de segurança e, quando relevante, em avaliações de impacto sobre a proteção de dados.
- Informamo-lo se, em nossa opinião, uma instrução violar o RGPD.
- Quando usa o assistente de IA sobre dados dos seus clientes (reservas, encomendas, pedidos, registos de CRM), apenas os registos necessários para a sua pergunta são tratados, para essa resposta, nas mesmas condições de subcontratação que o resto do serviço.
5. Subcontratantes ulteriores
Autoriza os subcontratantes abaixo indicados (também na nossa Política de Privacidade). Impomos-lhes obrigações de proteção de dados equivalentes e mantemo-nos responsáveis pelo seu desempenho. Avisamo-lo com pelo menos 14 dias de antecedência de qualquer adição ou substituição, na aplicação ou por e-mail; pode opor-se com fundamentos razoáveis de proteção de dados, caso em que pode deixar de usar a funcionalidade afetada.
| Fornecedor | Localização | Finalidade |
|---|---|---|
| Google LLC (Google Cloud, Google APIs, Google Maps/Places) | USA (EU SCCs) | sign-in; Drive, Calendar, Contacts and Photos features you connect; business data for the website maker |
| Stripe Payments Europe Ltd | Ireland / USA | card payments, subscriptions, invoices |
| PlanetHoster (N0C) | Canada / France | hosting of zaags.app (servers, backups) |
| Hetzner Online GmbH | Germany | AI gateway (routes AI requests) |
| Mistral AI SAS | France (EU) | AI chat in Full Privacy mode and with the 🔒 EU-private models; not used for training |
| OpenAI, OpenRouter (and the model providers it routes to), Replicate, Black Forest Labs | USA | AI text, image, logo and video generation in Open mode; audio transcription and voices |
| remove.bg (Kaleido AI GmbH) | Austria | logo background removal |
| Brave Software, DuckDuckGo, Steel.dev, Scrapling sidecar (own server) | USA / Germany | web search and page reading when you use search or import features |
| Meta Platforms Ireland (WhatsApp Business), Kapso | Ireland / USA | WhatsApp inbox and messages when you connect a number |
| Telegram FZ-LLC | UAE | alerts you choose to receive on Telegram |
| GoCardless Ltd | UK | open-banking bank feed when you connect an account |
| Firma.dev | EU | electronic signature requests |
| Supabase Inc | USA / EU region of your choice | your own data store when you connect one (you hold the keys) |
| Pexels, Openverse, Gravatar (Automattic) | USA | stock photos and profile-picture lookups |
| Revolut, Moloni, WooCommerce stores you connect | EU / your choice | payment links, invoicing and back-office orders for your own business, under your own accounts |
6. Medidas de segurança
- Cifra em trânsito (TLS) e cifra em repouso das credenciais com chave guardada fora da base de dados.
- Controlo de acesso: acesso aos dados dos clientes apenas pelo proprietário; nenhum ecrã de administração os expõe; acesso de apoio por tempo limitado, concedido pelo proprietário e registado.
- Autenticação: início de sessão Google ou ligação por e-mail, verificação em dois passos opcional com confirmação adicional para alterações sensíveis, tempo limite de inatividade, gestão de sessões, avisos de segurança.
- Segurança aplicacional: proteção contra CSRF e clickjacking, restrições às ligações de saída, validação de entradas, limitação de pedidos, registo de eventos de segurança.
- Alojamento na UE/Canadá com cópias de segurança diárias; tratamento de IA na UE no modo Privacidade Total.
- Minimização e limites de conservação conforme a Política de Privacidade (IP truncado, eliminação automática de localizações e fotografias de registo).
7. Violações de dados pessoais
Notificamo-lo sem demora injustificada depois de termos conhecimento de uma violação de dados pessoais que afete os seus dados, com a informação necessária para a sua própria notificação à autoridade de controlo e aos titulares, e ajudamo-lo na contenção.
8. Eliminação e devolução
Pode exportar os seus dados em qualquer momento (exportações CSV e JSON, espelhos no Google Drive) e apagá-los no produto. Quando elimina um site, uma funcionalidade ou a sua conta, os dados pessoais associados são apagados dentro do período de carência indicado no produto (7 dias para contas) e das cópias de segurança no prazo de 35 dias, salvo quando a lei da UE ou portuguesa nos obrigue a conservá-los (registos contabilísticos).
9. Auditorias e informação
Disponibilizamos a informação necessária para demonstrar o cumprimento do artigo 28.º e permitimos auditorias, incluindo inspeções, por si ou por auditor por si mandatado, no máximo uma vez por ano, com 30 dias de aviso, em horário de expediente, a seu custo e sob confidencialidade.
10. Transferências internacionais
Quando um subcontratante ulterior está fora do EEE, as transferências baseiam-se nas Cláusulas Contratuais-Tipo da Comissão Europeia (módulo 3, subcontratante para subcontratante, com as nossas obrigações de módulo 2 para consigo), no EU–US Data Privacy Framework quando certificado, e em garantias adicionais. A pedido, fornecemos as cláusulas relevantes.
11. Responsabilidade e lei
A responsabilidade ao abrigo deste ATD segue os Termos (secção 10) e o artigo 82.º do RGPD. Este ATD rege-se pela lei portuguesa. Em caso de conflito com os Termos em matéria de proteção de dados, prevalece este ATD.
12. Contacto
Contacto para proteção de dados: contact@zaags.app — RUDLU Unipessoal Lda, 27A Rua da Bela Vista à Graça, 1170-058 Lisboa, Portugal.