Acordo de Tratamento de Dados
Versão 2026-10 · Publicado em 17/10/2026
1. Partes, objeto e aceitação
Este acordo é celebrado entre a organização cliente do iTrackFlow («Cliente»), na qualidade de responsável pelo tratamento, e a InovaSkills – Sistemas de Informação e Segurança, Lda, NIPC 513 557 059 («InovaSkills»), na qualidade de subcontratante, nos termos do artigo 28.º do Regulamento (UE) 2016/679 («RGPD»). Regula o tratamento de dados pessoais que a InovaSkills realiza por conta do Cliente ao prestar o serviço iTrackFlow, descrito no Anexo 1.
O acordo faz parte dos Termos de Utilização e é aceite por meio eletrónico ao criar a conta, com registo da data, da versão e do endereço IP. A pedido do Cliente, a InovaSkills disponibiliza uma versão assinada com o mesmo conteúdo.
Este acordo não abrange os dados de que a InovaSkills é responsável pelo tratamento (dados de conta, faturação, segurança e estatísticas técnicas), descritos na Política de Privacidade.
2. Instruções do Cliente
A InovaSkills trata os dados pessoais apenas mediante instruções documentadas do Cliente, incluindo quanto a transferências para países terceiros, salvo se for obrigada a tratá-los por força do direito da União ou de um Estado-Membro; nesse caso, informa o Cliente antes do tratamento, salvo se a lei o proibir. Constituem instruções do Cliente estes termos, as configurações e ações realizadas na aplicação pelo Cliente e pelos seus Utilizadores, e os pedidos escritos enviados para info@itrackflow.com. A InovaSkills informa o Cliente se considerar que uma instrução viola o RGPD.
3. Confidencialidade
A InovaSkills assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a obrigações legais de confidencialidade, e que só acedem ao conteúdo dos espaços de trabalho quando tal for necessário para prestar o serviço, resolver um problema pedido pelo Cliente ou cumprir uma obrigação legal.
4. Segurança
A InovaSkills aplica as medidas técnicas e organizativas do artigo 32.º do RGPD descritas no Anexo 2. Pode atualizá-las ao longo do tempo, desde que o nível de segurança não diminua.
5. Subcontratantes ulteriores
- O Cliente dá à InovaSkills uma autorização geral para recorrer a subcontratantes ulteriores. A lista atual é a do Anexo 3.
- A InovaSkills informa o Cliente de qualquer adição ou substituição com pelo menos 30 dias de antecedência, por email ao titular da subscrição e na página de subcontratantes.
- O Cliente pode opor-se, de forma fundamentada, dentro desse prazo. Se as partes não chegarem a acordo, o Cliente pode cessar o contrato sem custos antes de a alteração produzir efeitos, com reembolso da parte não utilizada do período pago.
- A InovaSkills impõe a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste acordo e continua responsável perante o Cliente pelo seu cumprimento.
6. Transferências internacionais
Os dados são alojados na União Europeia, em infraestrutura própria da InovaSkills, em Portugal. A InovaSkills só transfere dados pessoais para fora do Espaço Económico Europeu, ou permite que um subcontratante ulterior o faça, com uma das garantias do capítulo V do RGPD (decisão de adequação ou cláusulas contratuais-tipo aprovadas pela Comissão Europeia), indicada no Anexo 3.
7. Direitos dos titulares
A aplicação permite ao Cliente consultar, corrigir, exportar e apagar os dados dos seus Utilizadores e Utilizadores do portal. Se a InovaSkills receber diretamente um pedido de um titular relativo a esses dados, encaminha-o para o Cliente sem demora e não lhe responde, salvo instrução do Cliente. A InovaSkills presta ao Cliente a assistência razoável de que este necessite para responder aos pedidos que a aplicação não permita satisfazer.
8. Violações de dados pessoais
A InovaSkills notifica o Cliente, por email ao titular da subscrição, sem demora injustificada e no prazo máximo de 48 horas após ter conhecimento de uma violação de dados pessoais que afete os dados do Cliente. A notificação inclui, na medida em que se conheça, a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis e as medidas adotadas ou propostas. A informação ainda não disponível é prestada por fases, à medida que for conhecida. A InovaSkills documenta todas as violações.
9. Assistência ao Cliente
Tendo em conta a natureza do tratamento e a informação de que dispõe, a InovaSkills presta assistência ao Cliente no cumprimento das obrigações dos artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliações de impacto e consulta prévia). A assistência que exceda o razoável ou resulte de pedidos do Cliente sem relação com uma falha da InovaSkills pode ser cobrada a preços previamente acordados.
10. Fim do tratamento
Até ao fim do acesso, o Cliente pode exportar os seus dados através das exportações da aplicação, incluindo durante o período de acesso apenas de leitura previsto nos Termos. Após a cessação do contrato, a InovaSkills apaga os dados pessoais do Cliente nos prazos previstos nos Termos — pelo menos 45 dias após o fim do acesso — e não os conserva, salvo obrigação legal. Os dados apagados desaparecem das cópias de segurança quando estas expiram, no prazo indicado no Anexo 2. A pedido do Cliente feito antes do apagamento, a InovaSkills pode antecipá-lo e confirmar por escrito que foi feito.
11. Informação e auditorias
A InovaSkills disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD e responde por escrito a questionários de segurança razoáveis. Quando essa informação não for suficiente, ou se uma autoridade de controlo o exigir, o Cliente pode realizar ou mandar realizar uma auditoria, diretamente ou por um auditor independente sujeito a confidencialidade, com aviso prévio de 30 dias, no máximo uma vez por ano, em dias úteis e sem perturbar o serviço nem expor dados de outros clientes. Os custos da auditoria são do Cliente, salvo se revelar um incumprimento relevante da InovaSkills.
12. Responsabilidade, duração e prevalência
A responsabilidade das partes rege-se pelo artigo 82.º do RGPD e, na medida em que a lei o permita, pelos limites previstos nos Termos. Este acordo vigora enquanto a InovaSkills tratar dados pessoais por conta do Cliente. Em matéria de proteção de dados, prevalece sobre os Termos. Pode ser alterado nos termos previstos nos Termos para as alterações contratuais, exceto quanto aos subcontratantes ulteriores, que seguem a cláusula 5.
Anexo 1 — Descrição do tratamento
| Objeto e natureza | Alojamento, armazenamento, organização, consulta, exportação e apagamento de dados no serviço iTrackFlow (aplicação web e portal de cliente), e envio dos emails do serviço. |
|---|---|
| Finalidade | Prestar ao Cliente o serviço de registo de tempo, aprovações, ausências, despesas, to-dos, relatórios e portal de cliente. |
| Duração | A duração do contrato, acrescida dos prazos de apagamento da cláusula 10. |
| Titulares dos dados | Colaboradores e outras pessoas que o Cliente convida para a aplicação; pessoas a quem os registos se referem (por exemplo, contactos dos clientes do Cliente); utilizadores do portal de cliente (contactos dos clientes do Cliente). |
| Categorias de dados | Identificação e contacto (nome, email, função, língua); registos de tempo, descrições, projetos, tarefas, clientes e etiquetas; pedidos de férias e ausências e respetivo tipo; despesas e recibos; to-dos; pedidos de serviço do portal e mensagens trocadas; fotografia de perfil; dados técnicos de utilização da conta no espaço de trabalho (registo de auditoria com endereço IP). |
| Categorias especiais | O serviço não se destina a categorias especiais de dados. O tipo de ausência «doença» pode revelar informação relativa à saúde; o Cliente decide que tipos de ausência usa, é responsável pelo fundamento legal desse tratamento e não deve registar informação clínica. O tipo de ausência só é visível para a própria pessoa, para quem aprova o pedido e para os titulares e administradores do espaço de trabalho. |
Anexo 2 — Medidas técnicas e organizativas
- Cifragem: comunicações sempre por HTTPS (TLS 1.2 ou superior, HSTS); segredos (chaves de dois passos, palavras-passe de serviços) cifrados em repouso com chaves protegidas pelo sistema operativo.
- Autenticação: palavras-passe guardadas com Argon2id, mínimo de 10 caracteres, sem reutilização das 5 anteriores; autenticação em dois passos (TOTP) disponível; bloqueio progressivo após tentativas falhadas; limitação de pedidos por endereço IP; códigos e ligações de uso único, guardados apenas em hash e com validade curta.
- Sessões: duração máxima de 12 horas; revogadas ao terminar a sessão e ao mudar a palavra-passe ou o email.
- Controlo de acessos: separação lógica dos dados por espaço de trabalho, verificada em cada pedido; perfis com permissões mínimas (titular, administrador, gestor de projeto, membro); utilizadores do portal limitados aos pedidos do seu cliente; acesso do suporte da InovaSkills limitado a dados de gestão das contas.
- Infraestrutura: serviço alojado na União Europeia, em infraestrutura própria da InovaSkills, em Portugal; contas de base de dados com privilégios mínimos; interface interna de suporte acessível apenas a partir de redes autorizadas; cabeçalhos de segurança e política de conteúdos restritiva nas aplicações web.
- Registo e monitorização: registo de auditoria das alterações relevantes e dos eventos de segurança (90 dias); monitorização do funcionamento e alertas operacionais.
- Disponibilidade e recuperação: cópias de segurança da base de dados, verificadas e guardadas noutras instalações da InovaSkills, em Portugal — registos de transações 5 dias, completas diárias 6 dias, semanais 4 semanas, mensais 12 meses, anuais 3 anos; procedimentos documentados de atualização com cópia prévia e reposição.
- Desenvolvimento: testes automáticos, revisões de segurança e atualizações regulares de componentes.
- Organização: acesso restrito às pessoas que precisam dele, com compromisso de confidencialidade; procedimento de gestão de violações de dados (cláusula 8).
Anexo 3 — Subcontratantes ulteriores
A lista atualizada, com a função, a entidade, a localização e a garantia de transferência de cada subcontratante, está na página Subcontratantes, que faz parte deste acordo.