Acordo de Subcontratação de Dados

Última atualização: 22 de setembro de 2026

O presente Acordo de Subcontratação de Dados ("Acordo") integra os Termos de Serviço celebrados entre si, o anfitrião que utiliza o serviço ALerta (o "Responsável pelo Tratamento"), e Seventh Swell, LLC, sob a marca ALerta (o "Subcontratante"), e reflete as obrigações das partes nos termos do artigo 28.º do Regulamento (UE) 2016/679 ("RGPD"). Dado que o Subcontratante está estabelecido nos Estados Unidos, o presente Acordo incorpora igualmente as Cláusulas Contratuais-Tipo da UE (Módulo Dois) para a transferência de dados pessoais de hóspedes para o Subcontratante — ver a Secção 10 e o Anexo 2.

1. Papéis e objeto

Quando utiliza a ALerta para gerir os dados pessoais dos seus hóspedes, o anfitrião é o responsável pelo tratamento e a ALerta é o seu subcontratante. O presente Acordo regula esse tratamento.

Não se aplica aos seus próprios dados pessoais enquanto utilizador do Serviço (dados de conta, imóveis, definições), relativamente aos quais a ALerta é o responsável pelo tratamento — ver a Política de Privacidade.

2. Âmbito e finalidade do tratamento

O Subcontratante trata dados pessoais de hóspedes por conta do Responsável pelo Tratamento exclusivamente para:

• Submeter registos de hóspedes ao SIBA (Sistema de Informação de Boletins de Alojamento), conforme exigido aos anfitriões de AL pela lei portuguesa
• Armazenar e apresentar registos de reservas e estadias dos imóveis do Responsável pelo Tratamento
• Gerar as vistas de conformidade, fiscais e operacionais do Serviço derivadas desses registos
• Receber e apresentar reservas, mensagens e avaliações de hóspedes provenientes dos canais de reserva (Booking.com, Airbnb) que o Responsável pelo Tratamento liga através do gestor de canais
• Receber pagamentos de hóspedes em reservas diretas do Responsável pelo Tratamento através do prestador de serviços de pagamento, por instrução deste (o Subcontratante nunca detém dados de cartão)
• Enviar emails dirigidos aos hóspedes (ligações de registo, confirmações, guias) por instrução do Responsável pelo Tratamento

As categorias de dados e de titulares de dados constam do Anexo 1.

3. Instruções documentadas

O Subcontratante trata os dados pessoais de hóspedes apenas mediante instruções documentadas do Responsável pelo Tratamento, inclusive no que respeita a transferências para países terceiros, salvo se a tal for obrigado pelo direito da União ou de um Estado-Membro a que esteja sujeito — caso em que informará o Responsável pelo Tratamento desse requisito jurídico antes do tratamento, salvo se a lei o proibir.

A utilização das funcionalidades do Serviço pelo Responsável pelo Tratamento (introdução de dados de hóspedes, submissões ao SIBA, convite de pessoal de limpeza, pedidos de exportação ou eliminação) constitui as suas instruções documentadas. O Subcontratante informará imediatamente o Responsável pelo Tratamento se, no seu entender, alguma instrução violar o RGPD ou outra legislação aplicável em matéria de proteção de dados.

4. Confidencialidade

O Subcontratante assegura que todas as pessoas autorizadas a tratar os dados pessoais de hóspedes assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada.

5. Segurança

O Subcontratante aplica medidas técnicas e organizativas adequadas para proteger os dados, conforme exigido pelo artigo 32.º do RGPD. Essas medidas estão descritas na Secção 9 ("Segurança") da Política de Privacidade e no Anexo 2 (Anexo II), e incluem encriptação em trânsito e em repouso, encriptação ao nível da aplicação dos campos de credenciais sensíveis, controlos de acesso e armazenamento de dados em região da UE.

6. Subcontratantes ulteriores

O Responsável pelo Tratamento concede ao Subcontratante uma autorização geral para recorrer a subcontratantes ulteriores no âmbito do tratamento descrito no presente Acordo.

• A lista atual de subcontratantes ulteriores é mantida em /legal/subprocessors.
• O Subcontratante atualizará essa página com, pelo menos, 30 dias de antecedência relativamente ao início do tratamento de dados pessoais de hóspedes por um novo subcontratante ulterior ou por um subcontratante ulterior de substituição, dando ao Responsável pelo Tratamento a possibilidade de se opor nesse prazo de 30 dias (Cláusula 9, alínea a), das Cláusulas — Anexo 2). Se o Responsável pelo Tratamento se opuser com fundamentos razoáveis de proteção de dados e não for encontrada uma solução, poderá cessar o Serviço e eliminar a sua conta.
• O Subcontratante impõe a cada subcontratante ulterior, por via contratual, as mesmas obrigações de proteção de dados previstas no presente Acordo, permanecendo plenamente responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações de cada subcontratante ulterior.
• Os subcontratantes ulteriores adicionados para o lançamento pago de 1 de outubro de 2026 (Stripe, Channex, Railway, Cloudflare e Slack) foram listados a 12 de setembro de 2026; o prazo de oposição de 30 dias relativamente a estes conta-se a partir dessa data.

7. Assistência ao Responsável pelo Tratamento

Tendo em conta a natureza do tratamento, o Subcontratante:

• Prestará assistência ao Responsável pelo Tratamento, através de medidas técnicas e organizativas adequadas (na medida do possível), no cumprimento da obrigação de dar resposta aos pedidos dos titulares de dados ao abrigo do Capítulo III do RGPD (acesso, retificação, apagamento, limitação, portabilidade, oposição). Os hóspedes devem dirigir os pedidos, em primeiro lugar, ao Responsável pelo Tratamento; se um hóspede contactar diretamente o Subcontratante, este reencaminhará o pedido para o Responsável pelo Tratamento e, conforme descrito na Política de Privacidade, responderá diretamente se o Responsável pelo Tratamento não atuar no prazo de 14 dias.
• Prestará assistência ao Responsável pelo Tratamento no cumprimento dos artigos 32.º a 36.º do RGPD (segurança, notificação de violações de dados pessoais, comunicação de violações aos titulares, avaliações de impacto sobre a proteção de dados e consulta prévia), tendo em conta a natureza do tratamento e a informação ao dispor do Subcontratante. O Subcontratante notificará o Responsável pelo Tratamento sem demora injustificada após ter conhecimento de uma violação de dados pessoais que afete dados de hóspedes.

8. Eliminação e devolução dos dados

Após a cessação do Serviço — incluindo quando o Responsável pelo Tratamento elimina a sua conta — o Subcontratante, consoante a escolha do Responsável pelo Tratamento, eliminará ou devolverá todos os dados pessoais de hóspedes e eliminará as cópias existentes, salvo se o direito da União ou de um Estado-Membro exigir a sua conservação.

Na prática, tal corresponde aos fluxos existentes do Serviço: o Responsável pelo Tratamento pode exportar os seus dados (incluindo registos de hóspedes) a partir das Definições, a qualquer momento antes da eliminação, e a eliminação da conta desencadeia um período de carência de 30 dias, após o qual todos os dados são definitivamente apagados, conforme descrito na Política de Privacidade. Os dados que o Responsável pelo Tratamento esteja legalmente obrigado a conservar (por exemplo, registos abrangidos pelos prazos de conservação fiscal portugueses) são tratados conforme aí descrito.

O Subcontratante dá a mesma instrução a cada subcontratante ulterior que detenha dados pessoais de hóspedes: em caso de cessação, ou quando o Responsável pelo Tratamento elimina a sua conta, o Subcontratante instrui o gestor de canais e os restantes subcontratantes ulteriores listados em /legal/subprocessors para eliminarem os imóveis, reservas, mensagens e demais dados pessoais do Responsável pelo Tratamento, e confirma a conclusão ao Responsável pelo Tratamento, a pedido deste. Quando as regras de conservação próprias de um subcontratante ulterior, ou uma obrigação legal, mantenham uma cópia por mais tempo, a página de subcontratantes ulteriores indica o prazo, e a obrigação do Subcontratante consiste em dar a instrução e obter a confirmação do subcontratante ulterior.

9. Direitos de auditoria

O Subcontratante disponibilizará ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD e permitirá e contribuirá para auditorias, incluindo inspeções, conduzidas pelo Responsável pelo Tratamento ou por um auditor por este mandatado.

Os pedidos de auditoria devem ser enviados para privacy@alerta.com.pt. O Subcontratante pode satisfazer um pedido de auditoria, em primeira instância, mediante a disponibilização de documentação relevante, certificações ou relatórios de auditoria dos subcontratantes ulteriores; as inspeções presenciais exigem aviso prévio razoável, devem decorrer durante o horário normal de funcionamento e não podem perturbar de forma desrazoável as operações do Subcontratante.

10. Transferências internacionais e Cláusulas Contratuais-Tipo

10.1 Armazenamento. Os dados pessoais de hóspedes são armazenados na União Europeia ou no Espaço Económico Europeu (ver a lista de subcontratantes ulteriores para as regiões de armazenamento; os tokens de cartão detidos pelo cofre do gestor de canais são armazenados na Islândia, EEE).

10.2 Transferência para o Subcontratante. O Subcontratante, Seventh Swell, LLC, está estabelecido nos Estados Unidos. A disponibilização de dados pessoais de hóspedes ao Subcontratante — incluindo o acesso remoto a partir dos Estados Unidos pelo seu titular, Carlo Dangelo, para efeitos de operação e suporte do Serviço — constitui uma transferência para um país terceiro nos termos do Capítulo V do RGPD.

10.3 Cláusulas Contratuais-Tipo. Para essa transferência, as partes celebram as cláusulas contratuais-tipo anexas à Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021, Módulo Dois (transferência de responsável pelo tratamento para subcontratante) (as "Cláusulas"), que se consideram incorporadas no presente Acordo por remissão e preenchidas conforme o Anexo 2. O Responsável pelo Tratamento é o exportador de dados e o Subcontratante é o importador de dados. As Cláusulas produzem efeitos a partir da aceitação dos Termos de Serviço pelo Responsável pelo Tratamento e mantêm-se em vigor durante a vigência do presente Acordo. Em caso de conflito entre as Cláusulas e o presente Acordo ou os Termos, prevalecem as Cláusulas (Cláusula 5). As Cláusulas estão disponíveis em todas as línguas oficiais da UE em https://eur-lex.europa.eu/eli/dec_impl/2021/914/oj.

10.4 Transferências ulteriores. O Subcontratante recorre a subcontratantes ulteriores fora da UE/EEE apenas nos termos das Cláusulas 8.8 e 9: cada um deles está vinculado por Cláusulas Contratuais-Tipo ou certificado ao abrigo do Quadro de Privacidade de Dados UE–EUA, conforme indicado em /legal/subprocessors.

10.5 Quadro de Privacidade de Dados. Se o Subcontratante obtiver a certificação ao abrigo do Quadro de Privacidade de Dados UE–EUA, indicá-lo-á em /legal/subprocessors e na Política de Privacidade; as Cláusulas mantêm-se em vigor a par dessa certificação.

10.6 Cláusulas sucessoras. Se a Comissão Europeia adotar cláusulas contratuais-tipo para transferências para importadores de dados cujo tratamento esteja diretamente sujeito ao RGPD, o Subcontratante poderá substituir as Cláusulas por essas, mediante atualização do presente Acordo nos termos da Secção 11 dos Termos.

11. Duração

O presente Acordo produz efeitos a partir do momento em que o Responsável pelo Tratamento utiliza pela primeira vez o Serviço para tratar dados pessoais de hóspedes e mantém-se em vigor enquanto o Subcontratante tratar esses dados por conta do Responsável pelo Tratamento, incluindo o período de eliminação pós-cessação previsto na Secção 8.

Anexo 1 — Descrição do tratamento

Categorias de titulares de dados

• Hóspedes dos imóveis de AL do Responsável pelo Tratamento (incluindo menores acompanhantes registados para efeitos de SIBA)
• Colaboradores e parceiros do Responsável pelo Tratamento convidados como membros da equipa, quanto à sua atividade na conta do Responsável pelo Tratamento (os respetivos dados de conta são tratados pela ALerta enquanto responsável — Política de Privacidade, Secção 4)

Categorias de dados pessoais

• Dados de identificação: nome completo, data de nascimento, nacionalidade, naturalidade
• Dados de documento de identificação: tipo de documento, número, país emissor
• Dados da estadia: imóvel, datas de check-in e check-out, país de residência
• Dados de contacto, quando recolhidos para a reserva
• Dados de contacto, conteúdo de mensagens e avaliações de hóspedes recebidos dos canais de reserva ligados
• Estado de pagamento das reservas diretas e das reservas recebidas pelos canais. Os números de cartão nunca chegam ao Subcontratante: nas reservas diretas, permanecem no prestador de serviços de pagamento (Stripe); nas reservas recebidas através dos canais ligados, o gestor de canais guarda os dados de cartão fornecidos pelo canal num cofre PCI DSS de Nível 1 no EEE (Vaultera ehf, Islândia) ou na Stripe, durante um período máximo de 7 dias após a partida, conforme indicado na página de subcontratantes ulteriores.
• Nomes, endereços de email, funções e registos de atividade dos membros da equipa na conta do Responsável pelo Tratamento

O Subcontratante não necessita nem trata intencionalmente categorias especiais de dados (artigo 9.º do RGPD). Os campos de texto livre recebidos dos canais de reserva ligados — mensagens de hóspedes, notas de reserva e pedidos especiais — podem conter incidentalmente esses dados, por exemplo um pedido alimentar ou de acessibilidade. O Subcontratante limita-se a apresentar esse texto ao Responsável pelo Tratamento; não lhe aplica qualquer análise, definição de perfis ou marketing, restringe o acesso à conta do Responsável pelo Tratamento e ao pessoal de suporte que atue a pedido deste, e elimina-o juntamente com o registo da reserva.

Natureza e finalidade do tratamento

• Recolha, armazenamento, transmissão ao SIBA, apresentação ao Responsável pelo Tratamento, exportação e eliminação — conforme descrito na Secção 2

Duração do tratamento

• Durante a vigência da conta do Responsável pelo Tratamento, acrescida do período de eliminação previsto na Secção 8, sem prejuízo das obrigações legais de conservação (Anexo 2, Anexo I.B)

Anexo 2 — Cláusulas Contratuais-Tipo (Módulo Dois)

A. Incorporação e opções. As cláusulas contratuais-tipo constantes do anexo à Decisão de Execução (UE) 2021/914 da Comissão, de 4 de junho de 2021 (as "Cláusulas"), Módulo Dois — transferência de responsável pelo tratamento para subcontratante, aplicam-se entre o Responsável pelo Tratamento (exportador de dados) e o Subcontratante (importador de dados) como se aqui estivessem integralmente reproduzidas, com as seguintes opções:

A pedido, é facultada a qualquer titular de dados uma cópia das Cláusulas tal como aqui preenchidas (Cláusula 8.3).

B. Anexo I.A — Lista das partes

Exportador de dados: o Responsável pelo Tratamento — a empresa identificada na conta ALerta (denominação, morada e NIF introduzidos nas Definições), representada pelo titular da conta. Atividades relevantes para os dados transferidos: exploração de estabelecimentos de Alojamento Local em Portugal e utilização do Serviço para gerir o registo de hóspedes, as reservas, a comunicação com hóspedes e os pagamentos. Papel: responsável pelo tratamento. Assinatura e data: o Responsável pelo Tratamento assina ao aceitar os Termos de Serviço no registo ou no checkout; a data de aceitação registada na conta é a data da assinatura.

Importador de dados: Seventh Swell, LLC, sob a marca ALerta, 2581 Haybale Street, Gilroy, CA 95020, Estados Unidos. Atividades relevantes para os dados transferidos: prestação do serviço ALerta — uma plataforma de conformidade e operações para anfitriões de Alojamento Local — conforme descrito na Secção 2. Papel: subcontratante. Contacto: Carlo Dangelo, Managing Member, privacy@alerta.com.pt. Assinatura e data: pela publicação do presente Acordo, 22 de setembro de 2026.

C. Anexo I.B — Descrição da transferência

• Categorias de titulares de dados: conforme o Anexo 1 — hóspedes dos imóveis de AL do Responsável pelo Tratamento (incluindo menores acompanhantes registados para efeitos de SIBA) e os membros da equipa do Responsável pelo Tratamento, quanto à sua atividade na conta deste.
• Categorias de dados pessoais: conforme o Anexo 1 — dados de identificação e de documento de identificação, dados da estadia, dados de contacto, mensagens e avaliações de hóspedes provenientes dos canais ligados, estado de pagamento, e nomes, endereços de email, funções e registos de atividade dos membros da equipa.
• Dados sensíveis: não são necessários. Os campos de texto livre recebidos dos canais de reserva ligados (mensagens de hóspedes, notas de reserva, pedidos especiais) podem conter incidentalmente dados que revelem o estado de saúde ou convicções religiosas, por exemplo um pedido alimentar ou de acessibilidade. Salvaguardas: limitação estrita da finalidade (apresentação apenas ao Responsável pelo Tratamento; sem análise, definição de perfis ou marketing); acesso restrito à conta do Responsável pelo Tratamento e ao pessoal de suporte do Subcontratante que atue a pedido deste; encriptação em trânsito e em repouso; eliminação juntamente com o registo da reserva; sem transferência ulterior, exceto para os subcontratantes ulteriores de alojamento e de gestão de canais do Anexo III.
• Frequência da transferência: contínua, enquanto o Responsável pelo Tratamento utilizar o Serviço.
• Natureza do tratamento: recolha, armazenamento, transmissão ao SIBA, apresentação ao Responsável pelo Tratamento, transmissão de e para o gestor de canais e o prestador de serviços de pagamento, exportação e eliminação (Anexo 1).
• Finalidade da transferência e do tratamento posterior: as finalidades da Secção 2 do presente Acordo, e nenhuma outra.
• Prazo de conservação: a vigência da conta do Responsável pelo Tratamento, acrescida do período de eliminação de 30 dias previsto na Secção 8, sem prejuízo das obrigações legais de conservação; os prazos aplicáveis em cada subcontratante ulterior constam de /legal/subprocessors.
• Transferências para subcontratantes ulteriores: os subcontratantes ulteriores do Anexo III, para o objeto, a natureza e a duração aí indicados.

D. Anexo I.C — Autoridade de controlo competente: a autoridade de controlo do Estado-Membro em que o Responsável pelo Tratamento está estabelecido; para os Responsáveis pelo Tratamento estabelecidos em Portugal, a CNPD, Av. D. Carlos I, 134 – 1.º, 1200-651 Lisboa, www.cnpd.pt.

E. Anexo II — Medidas técnicas e organizativas (Cláusula 8.6; assistência nos termos da Cláusula 10)

• Encriptação: TLS para todos os dados em trânsito; encriptação em repouso no prestador de base de dados e de armazenamento; encriptação AES-256 ao nível da aplicação das credenciais SIBA, das datas de nascimento dos hóspedes, das palavras-passe de Wi-Fi e dos códigos de cofre de chaves e de alarme.
• Controlo de acesso e autenticação: início de sessão sem palavra-passe (Google ou códigos únicos de curta duração); acesso baseado em funções — cada Responsável pelo Tratamento vê apenas a sua própria conta; a função administrativa do Subcontratante é atribuída apenas a contas constantes de uma lista controlada por variável de ambiente; segurança ao nível da linha em modo de negação por defeito na base de dados, como defesa em profundidade; revisão periódica das permissões de acesso.
• Confidencialidade: todas as pessoas autorizadas a tratar os dados estão vinculadas à confidencialidade (Secção 4); o pessoal do Subcontratante com acesso aos dados de produção limita-se ao seu titular.
• Integridade, disponibilidade e resiliência: infraestrutura gerida na UE (Frankfurt), com disponibilidade e cópias de segurança asseguradas pelos prestadores de infraestrutura nos termos dos respetivos contratos; registo de auditoria das operações sensíveis (submissões ao SIBA, revelação de códigos de cofre de chaves, eliminação de conta); registo das tentativas de início de sessão conservado durante 30 dias para deteção de abusos.
• Minimização e conservação dos dados: são recolhidos apenas os campos necessários ao SIBA, às reservas, às mensagens e aos pagamentos; prazos de conservação na Secção 8 e no Anexo I.B; os emails reencaminhados em bruto são eliminados após 30 dias.
• Desenvolvimento seguro: revisão de código nas alterações que afetem dados pessoais; atualização de dependências e correções de segurança; ambientes de teste e de produção separados, com bases de dados separadas; interruptores de emergência para a sincronização de canais.
• Subcontratantes ulteriores: contratados apenas ao abrigo de termos escritos equivalentes ao presente Acordo (Secção 6, Cláusula 9); a localização e a base de transferência de cada prestador em /legal/subprocessors.
• Assistência ao Responsável pelo Tratamento (Cláusula 10): exportação e eliminação em regime de self-service nas Definições; pedidos dos titulares de dados através de privacy@alerta.com.pt, com resposta no prazo de 30 dias; pedidos de hóspedes reencaminhados ao Responsável pelo Tratamento e respondidos diretamente se este não atuar no prazo de 14 dias (Secção 7); violações de dados pessoais notificadas ao Responsável pelo Tratamento sem demora injustificada, com a informação prevista na Cláusula 8.6, alínea c) (Secção 7).

F. Anexo III — Lista de subcontratantes ulteriores (autorizados à data do presente Acordo; a lista mantida é a lista A de /legal/subprocessors)

Duração: durante a vigência do presente Acordo.

Histórico de versões. 22 de setembro de 2026 — texto final: Secção 8 (instrução de eliminação aos subcontratantes ulteriores), Secção 10 e Anexo 2 (Cláusulas Contratuais-Tipo, Módulo Dois), Anexo 1 (campos de texto livre; dados de cartão detidos pelo gestor de canais). 12 de setembro de 2026 — versão preliminar comunicada aos clientes existentes (canais, pagamentos e membros da equipa incluídos no âmbito).

Subcontratante: Seventh Swell, LLC, sob a marca ALerta Contacto: privacy@alerta.com.pt