Acordo de Tratamento de Dados (DPA)

Versão: 2026-10-09

Este Acordo de Tratamento de Dados ("Acordo" ou "DPA") é celebrado entre a Organização cliente ("Responsável pelo tratamento") e a Questa ("Subcontratante"), identificadas no Anexo I, e faz parte integrante dos Termos de Serviço para Organizações.

O Acordo segue as cláusulas contratuais-tipo entre responsáveis pelo tratamento e subcontratantes aprovadas pela Comissão Europeia na Decisão de Execução (UE) 2021/915, de 4 de junho de 2021, nos termos do artigo 28.º, n.º 7, do Regulamento (UE) 2016/679 (RGPD), completadas com os anexos próprios do serviço Questa.

Secção I

Cláusula 1 — Objetivo e âmbito

a) O objetivo das presentes cláusulas é assegurar o cumprimento do artigo 28.º, n.os 3 e 4, do RGPD.

b) O Responsável pelo tratamento e o Subcontratante enumerados no Anexo I aceitaram as presentes cláusulas a fim de assegurar o cumprimento do artigo 28.º, n.os 3 e 4, do RGPD.

c) As presentes cláusulas aplicam-se ao tratamento de dados pessoais conforme especificado no Anexo II.

d) Os Anexos I a IV fazem parte integrante das cláusulas.

e) As presentes cláusulas não prejudicam as obrigações a que o Responsável pelo tratamento está sujeito por força do RGPD.

f) As presentes cláusulas não asseguram, por si só, o cumprimento das obrigações relacionadas com as transferências internacionais nos termos do capítulo V do RGPD.

Cláusula 2 — Invariabilidade das cláusulas

a) As partes comprometem-se a não alterar as cláusulas, exceto para completar ou atualizar as informações especificadas nos anexos.

b) Tal não impede as partes de incluírem as cláusulas num contrato mais amplo (os Termos de Serviço) ou de acrescentarem outras cláusulas ou garantias adicionais, desde que estas não contradigam, direta ou indiretamente, as presentes cláusulas nem prejudiquem os direitos ou liberdades fundamentais dos titulares dos dados.

Cláusula 3 — Interpretação

a) Sempre que as presentes cláusulas utilizem os termos definidos no RGPD, esses termos têm o mesmo significado que no RGPD.

b) As presentes cláusulas devem ser lidas e interpretadas à luz das disposições do RGPD.

c) As presentes cláusulas não devem ser interpretadas de forma contrária aos direitos e obrigações previstos no RGPD nem de forma que prejudique os direitos ou liberdades fundamentais dos titulares dos dados.

Cláusula 4 — Hierarquia

Em caso de contradição entre as presentes cláusulas e as disposições de acordos conexos entre as partes, existentes no momento em que as cláusulas são acordadas ou celebradas posteriormente, prevalecem as presentes cláusulas.

Cláusula 5 — Cláusula de adesão

Não aplicável.

Secção II — Obrigações das partes

Cláusula 6 — Descrição do(s) tratamento(s)

Os pormenores das operações de tratamento, nomeadamente as categorias de dados pessoais e as finalidades do tratamento para as quais os dados pessoais são tratados por conta do Responsável pelo tratamento, são especificados no Anexo II.

Cláusula 7 — Obrigações das partes

7.1. Instruções

a) O Subcontratante trata os dados pessoais apenas mediante instruções documentadas do Responsável pelo tratamento, a menos que seja obrigado a fazê-lo pelo direito da União ou de um Estado-Membro a que esteja sujeito. Neste caso, o Subcontratante informa o Responsável pelo tratamento desse requisito jurídico antes do tratamento, a menos que a lei o proíba por motivos importantes de interesse público. O Responsável pelo tratamento pode também dar instruções posteriores durante todo o período de tratamento dos dados pessoais. Essas instruções devem ser sempre documentadas.

b) Constituem instruções documentadas do Responsável pelo tratamento: os Termos de Serviço, o presente Acordo e a configuração e utilização que o Responsável faz da Plataforma através do backoffice (por exemplo, criar eventos, importar ou remover participantes, publicar conteúdos, enviar avaliações ou eliminar dados).

c) O Subcontratante informa imediatamente o Responsável pelo tratamento se, na sua opinião, as instruções dadas pelo Responsável pelo tratamento violarem o RGPD ou as disposições aplicáveis do direito da União ou dos Estados-Membros em matéria de proteção de dados.

7.2. Limitação da finalidade

O Subcontratante trata os dados pessoais apenas para a(s) finalidade(s) específica(s) do tratamento, tal como estabelecido no Anexo II, salvo se receber instruções adicionais do Responsável pelo tratamento.

7.3. Duração do tratamento de dados pessoais

O tratamento pelo Subcontratante só tem lugar durante o período especificado no Anexo II.

7.4. Segurança do tratamento

a) O Subcontratante aplica, pelo menos, as medidas técnicas e organizativas especificadas no Anexo III para assegurar a segurança dos dados pessoais. Tal inclui a proteção dos dados contra uma violação da segurança que provoque, de modo acidental ou ilícito, a destruição, a perda, a alteração, a divulgação ou o acesso não autorizados aos dados (violação de dados pessoais). Ao avaliar o nível de segurança adequado, as partes têm devidamente em conta o estado da técnica, os custos de aplicação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os titulares dos dados.

b) O Subcontratante concede aos membros do seu pessoal acesso aos dados pessoais objeto de tratamento apenas na medida estritamente necessária para a execução, gestão e acompanhamento do contrato. O Subcontratante garante que as pessoas autorizadas a tratar os dados pessoais recebidos assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade.

7.5. Dados sensíveis

Se o tratamento envolver dados pessoais que revelem a origem racial ou étnica, as opiniões políticas, as convicções religiosas ou filosóficas, ou a filiação sindical, dados genéticos ou biométricos destinados a identificar uma pessoa singular de forma inequívoca, dados relativos à saúde ou à vida sexual ou à orientação sexual de uma pessoa, ou dados relacionados com condenações penais e infrações ("dados sensíveis"), o Subcontratante aplica restrições específicas e/ou garantias adicionais. O serviço não exige dados sensíveis e o Responsável pelo tratamento compromete-se a não os introduzir na Plataforma sem acordo prévio.

7.6. Documentação e conformidade

a) As partes devem poder demonstrar a conformidade com as presentes cláusulas.

b) O Subcontratante dá resposta pronta e adequada aos pedidos de informação do Responsável pelo tratamento relativos ao tratamento de dados em conformidade com as presentes cláusulas.

c) O Subcontratante disponibiliza ao Responsável pelo tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas nas presentes cláusulas e decorrentes diretamente do RGPD. A pedido do Responsável pelo tratamento, o Subcontratante permite e contribui para a realização de auditorias às atividades de tratamento abrangidas pelas presentes cláusulas, com uma frequência razoável ou se houver indícios de incumprimento. Ao decidir sobre uma revisão ou auditoria, o Responsável pelo tratamento pode ter em conta certificações relevantes detidas pelo Subcontratante.

d) O Responsável pelo tratamento pode optar por realizar a auditoria ele próprio ou mandatar um auditor independente. As auditorias podem também incluir inspeções nas instalações ou nos locais físicos do Subcontratante e, se for caso disso, são efetuadas com um pré-aviso razoável, de pelo menos 30 dias, em horário de expediente, sem perturbar o serviço prestado a outros clientes e sob compromisso de confidencialidade. Cada parte suporta os seus próprios custos, salvo se a auditoria revelar um incumprimento relevante do Subcontratante.

e) As partes disponibilizam as informações referidas na presente cláusula, incluindo os resultados de quaisquer auditorias, às autoridades de controlo competentes, mediante pedido.

7.7. Recurso a subcontratantes ulteriores

a) O Subcontratante dispõe de uma autorização geral do Responsável pelo tratamento para contratar subcontratantes ulteriores incluídos numa lista acordada. A lista em vigor consta do Anexo IV. O Subcontratante informa especificamente e por escrito o Responsável pelo tratamento de quaisquer alterações previstas dessa lista, através da adição ou substituição de subcontratantes ulteriores, com uma antecedência mínima de 30 dias, dando assim ao Responsável pelo tratamento tempo suficiente para se poder opor a essas alterações antes da contratação do(s) subcontratante(s) ulterior(es) em causa. Se o Responsável se opuser por motivos razoáveis relacionados com a proteção de dados e as partes não encontrarem solução, o Responsável pode terminar os Termos de Serviço sem penalização. O Subcontratante fornece ao Responsável pelo tratamento as informações necessárias para que este possa exercer o seu direito de oposição.

b) Sempre que o Subcontratante contratar um subcontratante ulterior para realizar atividades de tratamento específicas (por conta do Responsável pelo tratamento), deve fazê-lo por meio de um contrato que imponha ao subcontratante ulterior, em substância, as mesmas obrigações em matéria de proteção de dados que são impostas ao Subcontratante por força das presentes cláusulas. O Subcontratante assegura que o subcontratante ulterior cumpre as obrigações a que o próprio Subcontratante está sujeito por força das presentes cláusulas e do RGPD.

c) A pedido do Responsável pelo tratamento, o Subcontratante fornece-lhe uma cópia desse acordo com o subcontratante ulterior e de quaisquer alterações subsequentes. Na medida do necessário para proteger segredos comerciais ou outras informações confidenciais, incluindo dados pessoais, o Subcontratante pode expurgar o texto do acordo antes de partilhar uma cópia.

d) O Subcontratante continua a ser plenamente responsável perante o Responsável pelo tratamento pelo cumprimento das obrigações do subcontratante ulterior em conformidade com o contrato celebrado com o Subcontratante. O Subcontratante notifica o Responsável pelo tratamento de qualquer incumprimento, por parte do subcontratante ulterior, das suas obrigações contratuais.

e) O Subcontratante acorda com o subcontratante ulterior uma cláusula de terceiro beneficiário, nos termos da qual — caso o Subcontratante tenha desaparecido de facto, cessado de existir juridicamente ou se tenha tornado insolvente — o Responsável pelo tratamento tem o direito de rescindir o contrato com o subcontratante ulterior e de lhe dar instruções para apagar ou devolver os dados pessoais.

7.8. Transferências internacionais

a) Qualquer transferência de dados para um país terceiro ou uma organização internacional pelo Subcontratante só é efetuada com base em instruções documentadas do Responsável pelo tratamento ou para cumprir um requisito específico ao abrigo do direito da União ou de um Estado-Membro a que o Subcontratante esteja sujeito, e deve respeitar o capítulo V do RGPD. O Responsável pelo tratamento autoriza as transferências que resultem dos subcontratantes ulteriores indicados no Anexo IV, nas condições aí descritas.

b) O Responsável pelo tratamento concorda que, sempre que o Subcontratante contratar um subcontratante ulterior em conformidade com a cláusula 7.7 para realizar atividades de tratamento específicas (por conta do Responsável pelo tratamento) e essas atividades de tratamento implicarem uma transferência de dados pessoais na aceção do capítulo V do RGPD, o Subcontratante e o subcontratante ulterior podem assegurar o cumprimento do capítulo V do RGPD utilizando cláusulas contratuais-tipo adotadas pela Comissão nos termos do artigo 46.º, n.º 2, do RGPD, desde que estejam preenchidas as condições para a utilização dessas cláusulas, ou outro mecanismo válido, como uma decisão de adequação.

Cláusula 8 — Assistência ao Responsável pelo tratamento

a) O Subcontratante notifica prontamente o Responsável pelo tratamento de qualquer pedido que tenha recebido do titular dos dados. O Subcontratante não responde ele próprio ao pedido, a menos que tenha sido autorizado a fazê-lo pelo Responsável pelo tratamento.

b) O Subcontratante presta assistência ao Responsável pelo tratamento no cumprimento das obrigações deste último de responder aos pedidos dos titulares dos dados para exercerem os seus direitos, tendo em conta a natureza do tratamento. No cumprimento das suas obrigações em conformidade com as alíneas a) e b), o Subcontratante cumpre as instruções do Responsável pelo tratamento. A Plataforma disponibiliza ao Responsável ferramentas para consultar, corrigir e remover participantes e os respetivos conteúdos, e aos participantes a possibilidade de editar o perfil, as definições de privacidade e de eliminar a própria conta.

c) Para além da obrigação de assistência ao Responsável pelo tratamento, nos termos da cláusula 8, alínea b), o Subcontratante presta ainda assistência ao Responsável pelo tratamento para assegurar o cumprimento das seguintes obrigações, tendo em conta a natureza do tratamento e a informação ao dispor do Subcontratante:

1. a obrigação de realizar uma avaliação do impacto das operações de tratamento previstas sobre a proteção de dados pessoais ("avaliação de impacto sobre a proteção de dados"), sempre que um tipo de tratamento for suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares;
2. a obrigação de consultar a(s) autoridade(s) de controlo competente(s) antes de proceder ao tratamento, quando uma avaliação de impacto sobre a proteção de dados indicar que o tratamento resultaria num elevado risco se o Responsável pelo tratamento não tomasse medidas para atenuar o risco;
3. a obrigação de assegurar que os dados pessoais são exatos e atualizados, informando sem demora o Responsável pelo tratamento caso o Subcontratante tome conhecimento de que os dados pessoais que está a tratar são inexatos ou desatualizados;
4. as obrigações previstas no artigo 32.º do RGPD.

d) As partes estabelecem no Anexo III as medidas técnicas e organizativas adequadas através das quais o Subcontratante deve prestar assistência ao Responsável pelo tratamento na aplicação da presente cláusula, bem como o âmbito e a extensão da assistência necessária.

Cláusula 9 — Notificação de violações de dados pessoais

Em caso de violação de dados pessoais, o Subcontratante coopera com o Responsável pelo tratamento e presta-lhe assistência para que este cumpra as obrigações que lhe incumbem por força dos artigos 33.º e 34.º do RGPD, tendo em conta a natureza do tratamento e a informação ao dispor do Subcontratante.

9.1. Violação de dados relativa a dados tratados pelo Responsável pelo tratamento

Em caso de violação de dados pessoais relacionada com os dados tratados pelo Responsável pelo tratamento, o Subcontratante presta assistência ao Responsável pelo tratamento:

a) na notificação da violação de dados pessoais à(s) autoridade(s) de controlo competente(s), sem demora injustificada, após o Responsável pelo tratamento ter tido conhecimento da mesma, se for caso disso (a menos que a violação dos dados pessoais não seja suscetível de resultar num risco para os direitos e liberdades das pessoas singulares);

b) na obtenção das seguintes informações que, nos termos do artigo 33.º, n.º 3, do RGPD, devem ser indicadas na notificação do Responsável pelo tratamento e incluir, pelo menos: a natureza dos dados pessoais, incluindo, se possível, as categorias e o número aproximado de titulares de dados afetados, bem como as categorias e o número aproximado de registos de dados pessoais em causa; as consequências prováveis da violação de dados pessoais; as medidas adotadas ou propostas pelo Responsável pelo tratamento para reparar a violação de dados pessoais, inclusive, se for caso disso, medidas para atenuar os seus eventuais efeitos negativos. Caso, e na medida em que, não seja possível fornecer todas estas informações ao mesmo tempo, a notificação inicial deve conter as informações disponíveis nesse momento, devendo as restantes informações ser fornecidas posteriormente, sem demora injustificada, à medida que forem ficando disponíveis;

c) no cumprimento, nos termos do artigo 34.º do RGPD, da obrigação de comunicar sem demora injustificada a violação de dados pessoais ao titular dos dados, caso essa violação seja suscetível de implicar um elevado risco para os direitos e liberdades das pessoas singulares.

9.2. Violação de dados relativa a dados tratados pelo Subcontratante

Em caso de violação de dados pessoais relacionada com os dados tratados pelo Subcontratante, este notifica o Responsável pelo tratamento sem demora injustificada e, em qualquer caso, no prazo de 48 horas após ter tido conhecimento da violação. Essa notificação deve conter, pelo menos:

a) uma descrição da natureza da violação (incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos de dados em causa);

b) os contactos de um ponto de contacto onde possam ser obtidas mais informações sobre a violação de dados pessoais;

c) as suas consequências prováveis e as medidas adotadas ou propostas para reparar a violação, nomeadamente para atenuar os seus eventuais efeitos negativos.

Caso, e na medida em que, não seja possível fornecer todas estas informações ao mesmo tempo, a notificação inicial deve conter as informações disponíveis nesse momento, devendo as restantes informações ser fornecidas posteriormente, sem demora injustificada, à medida que forem ficando disponíveis. As notificações são enviadas para o email do owner da Organização registado na Plataforma.

As partes estabelecem no Anexo III todos os outros elementos que o Subcontratante deve fornecer ao prestar assistência ao Responsável pelo tratamento no cumprimento das obrigações que incumbem a este último por força dos artigos 33.º e 34.º do RGPD.

Secção III — Disposições finais

Cláusula 10 — Incumprimento das cláusulas e rescisão

a) Sem prejuízo de quaisquer disposições do RGPD, em caso de incumprimento, por parte do Subcontratante, das obrigações que lhe incumbem por força das presentes cláusulas, o Responsável pelo tratamento pode dar instruções ao Subcontratante para suspender o tratamento de dados pessoais até que este cumpra as presentes cláusulas ou até que o contrato seja rescindido. O Subcontratante informa prontamente o Responsável pelo tratamento caso não possa cumprir as presentes cláusulas, por qualquer motivo.

b) O Responsável pelo tratamento tem o direito de rescindir o contrato no que respeita ao tratamento de dados pessoais em conformidade com as presentes cláusulas se:

1. o tratamento de dados pessoais pelo Subcontratante tiver sido suspenso pelo Responsável pelo tratamento nos termos da alínea a) e se o cumprimento das presentes cláusulas não for restabelecido num prazo razoável e, em qualquer caso, no prazo de um mês a contar da suspensão;
2. o Subcontratante estiver em situação de incumprimento substancial ou persistente das presentes cláusulas ou das obrigações que lhe incumbem por força do RGPD;
3. o Subcontratante não cumprir uma decisão vinculativa de um tribunal competente ou da(s) autoridade(s) de controlo competente(s) relativa às obrigações que lhe incumbem por força das presentes cláusulas ou do RGPD.

c) O Subcontratante tem o direito de rescindir o contrato no que respeita ao tratamento de dados pessoais nos termos das presentes cláusulas se, depois de ter informado o Responsável pelo tratamento de que as suas instruções violam os requisitos jurídicos aplicáveis em conformidade com a cláusula 7.1, alínea c), o Responsável pelo tratamento insistir no cumprimento das instruções.

d) Após a rescisão do contrato, o Subcontratante, consoante a escolha do Responsável pelo tratamento, apaga todos os dados pessoais tratados por conta do Responsável pelo tratamento e certifica ao Responsável pelo tratamento que o fez, ou devolve todos os dados pessoais ao Responsável pelo tratamento e apaga as cópias existentes, a menos que o direito da União ou de um Estado-Membro exija a conservação dos dados pessoais. Até à eliminação ou devolução dos dados, o Subcontratante continua a assegurar o cumprimento das presentes cláusulas. Na falta de escolha do Responsável no prazo de 30 dias após a cessação, os dados são apagados.

Cláusula 11 — Alterações e aceitação

a) Este Acordo é aceite eletronicamente pelo owner da Organização no registo ou no backoffice. A Questa conserva o registo da aceitação (versão, data e hora, utilizador e endereço IP).

b) As alterações aos anexos, nomeadamente à lista de subcontratantes ulteriores do Anexo IV, seguem a cláusula 7.7. Uma nova versão do Acordo é comunicada no backoffice e deve ser aceite no prazo de 30 dias, conforme os Termos de Serviço.

---

Anexo I — Lista das partes

Responsável pelo tratamento: a Organização identificada na conta da Plataforma (nome da organização indicado no registo), representada pelo seu owner, que aceita este Acordo em nome da Organização. Os dados de identificação e contacto são os registados na Plataforma e constam do registo de aceitação.

Subcontratante: Questa, NIF 240600070, Porto, Portugal. Contacto para proteção de dados: info@questa.pt.

Anexo II — Descrição do tratamento

Categorias de titulares dos dados

• Participantes dos eventos do Responsável (convidados, importados ou inscritos);
• Administradores e membros da Organização com acesso ao backoffice.

Categorias de dados pessoais tratados

• Identificação e contacto: nome, email e, se fornecido, telefone;
• Perfil: fotografia, instituição, cargo, ligações a redes sociais e preferência de idioma, conforme preenchidos pelo titular;
• Participação nos eventos: inscrição, pontos e ranking, desafios concluídos, respostas a quizzes, check-ins por código QR ou localização de desafio, publicações e comentários no feed, gostos e denúncias;
• Networking: ligações estabelecidas entre participantes e as definições de privacidade que controlam o que cada um partilha;
• Avaliações dos eventos: respostas guardadas de forma anónima, sem ligação ao titular; regista-se apenas se o convite foi respondido;
• Dados técnicos: identificadores de dispositivo para notificações push, registos de acesso e de segurança.

Dados sensíveis tratados: nenhum previsto (ver cláusula 7.5).

Natureza do tratamento: alojamento, armazenamento, organização, consulta, apresentação aos participantes e administradores, envio de emails transacionais (convites, códigos, avaliações) e de notificações push, cópia de segurança e eliminação.

Finalidade(s): prestar ao Responsável a plataforma de eventos gamificados descrita nos Termos de Serviço, incluindo o suporte técnico e a segurança do serviço.

Duração do tratamento: durante a vigência dos Termos de Serviço. Após a cessação, os dados ficam disponíveis para exportação durante 30 dias e são depois apagados; as cópias de segurança são eliminadas no ciclo normal de rotação, no máximo 30 dias depois. O Responsável pode, em qualquer momento, remover participantes, eventos e conteúdos através do backoffice.

Subcontratantes ulteriores: ver Anexo IV.

Anexo III — Medidas técnicas e organizativas

• Confidencialidade em trânsito: todas as comunicações com a Plataforma usam HTTPS (TLS).
• Credenciais: as palavras-passe são guardadas apenas como hash (bcrypt); os códigos de verificação e recuperação expiram ao fim de 15 minutos e têm limite de tentativas.
• Controlo de acessos: acesso ao backoffice por papéis (owner, admin); separação lógica entre organizações em todas as consultas; acesso administrativo aos servidores limitado ao pessoal autorizado, com autenticação por chave.
• Proteção contra abuso: limites de pedidos (rate limiting), verificação anti-robô no registo e aprovação manual das novas organizações.
• Minimização e privacidade por defeito: os participantes controlam que campos do perfil partilham no networking (por defeito, só nome e fotografia); as respostas às avaliações são anónimas por desenho.
• Disponibilidade e resiliência: cópias de segurança periódicas da base de dados e dos ficheiros, e capacidade de reposição.
• Atualizações: aplicação regular de atualizações de segurança ao sistema operativo, ao servidor web e às dependências da aplicação.
• Registos: registos de erros e de acesso para deteção e investigação de incidentes.
• Pessoal: compromisso de confidencialidade de todas as pessoas com acesso aos dados.
• Assistência ao Responsável: ferramentas no backoffice para consultar, corrigir e remover participantes e conteúdos; resposta a pedidos através de info@questa.pt; notificação de violações conforme a cláusula 9.

Anexo IV — Subcontratantes ulteriores autorizados

Subcontratante ulterior	Localização	Serviço	Dados envolvidos
OVH SAS	França (UE)	Alojamento do servidor, base de dados e ficheiros; envio de email	Todas as categorias do Anexo II
Google Ireland Limited (Firebase Cloud Messaging)	Irlanda (UE); pode envolver a Google LLC, EUA	Entrega de notificações push às aplicações	Identificador do dispositivo e conteúdo da notificação
Apple Distribution International Ltd. (Apple Push Notification service)	Irlanda (UE); pode envolver a Apple Inc., EUA	Entrega de notificações push em dispositivos iOS	Identificador do dispositivo e conteúdo da notificação

As transferências para os EUA que possam resultar dos serviços da Google e da Apple assentam na decisão de adequação relativa ao Quadro de Privacidade de Dados UE-EUA (EU-U.S. Data Privacy Framework) e, subsidiariamente, nas cláusulas contratuais-tipo da Comissão Europeia celebradas por esses fornecedores.