Acordo de Processamento de Dados (DPA)

1. Funções — Responsável e Subcontratante

Este Acordo de Processamento de Dados («DPA») aplica-se ao tratamento de dados pessoais realizado pela Floworks na prestação da plataforma SaaS Floworks ao Cliente (empresa subscritora).

A Floworks atua como responsável pelo tratamento (controller) relativamente aos dados pessoais para os quais determina as finalidades e os meios, incluindo:

• Administração de contas e autenticação • Faturação e gestão da subscrição • Segurança e operação da plataforma • Suporte à plataforma • Prevenção de abuso, fraude ou utilização indevida • Cumprimento de obrigações legais da Floworks

Quando o Cliente utiliza a plataforma para tratar dados pessoais dos seus trabalhadores, colaboradores ou outras pessoas no contexto da sua atividade, o Cliente é o responsável pelo tratamento desses dados e a Floworks atua como subcontratante (processor).

A Floworks não se torna responsável pelo tratamento dos dados de trabalhadores do Cliente pelo mero facto de os alojar ou processar tecnicamente. Nem todos os dados na plataforma são, por esse motivo, dados de subcontratante.

Este DPA rege o tratamento em que a Floworks atua como subcontratante. Não constitui certificação de conformidade, ISO, SOC 2 ou equivalente.

2. Instruções documentadas

Quando atua como subcontratante, a Floworks trata dados pessoais apenas segundo instruções documentadas do Cliente, incluindo:

• este DPA; • o contrato de subscrição e os Termos aplicáveis; • a configuração da conta, das permissões e das funcionalidades utilizadas pelo Cliente; • pedidos operacionais razoáveis transmitidos pelos administradores autorizados do Cliente, na medida em que sejam compatíveis com o serviço.

A Floworks informa o Cliente se, na sua opinião, uma instrução violar o RGPD ou outra legislação de proteção de dados aplicável, salvo se a lei o proibir.

A Floworks pode tratar dados pessoais na medida exigida pelo direito da União ou dos Estados-Membros a que esteja sujeita. Nesse caso, informa o Cliente dessa exigência legal antes do tratamento, salvo se a lei o proibir.

3. Natureza e âmbito do tratamento

O tratamento consiste no alojamento, armazenamento, apresentação, transmissão, notificação e demais operações técnicas necessárias para prestar as funcionalidades configuradas pelo Cliente, incluindo, consoante o plano e a utilização:

• contas e permissões de utilizadores; • assiduidade, escalas, férias, ausências e banco de horas; • documentos e anexos; • planeamento de pessoal (staffing); • inventário, quando utilizado; • calendário, eventos e comunicações operacionais; • suporte e recuperação de registos, quando aplicável.

A duração do tratamento corresponde à vigência do serviço e aos períodos residualmente necessários após a cessação, nos termos das secções de conservação e de devolução/eliminação.

4. Finalidades do tratamento (subcontratante)

Relativamente aos dados de força de trabalho do Cliente, a Floworks trata dados pessoais apenas na medida necessária para:

• Prestar o serviço contratado
• Alojar, armazenar e processar os dados introduzidos pelo Cliente
• Disponibilizar as funcionalidades de produto solicitadas e configuradas pelo Cliente
• Manter a segurança da plataforma
• Prevenir abuso, fraude ou utilização não autorizada
• Diagnosticar e prestar suporte ao serviço
• Cumprir obrigações legais aplicáveis ao subcontratante
• Executar outras instruções documentadas do Cliente

A Floworks não trata o conteúdo de força de trabalho do Cliente como subcontratante para uma finalidade autónoma e irrestrita de «melhoria da plataforma». Quando a Floworks trata dados na qualidade de responsável (por exemplo, contas, faturação, segurança da plataforma e suporte da plataforma), essas finalidades são distintas e não convertem a Floworks em responsável pelos dados de trabalhadores do Cliente.

5. Categorias de dados pessoais

Podem ser tratados, conforme introduzido ou configurado pelo Cliente:

• Dados de identificação e contacto profissionais (nome, email)
• Dados profissionais (função, departamento, local de trabalho, empresa)
• Dados de assiduidade, escalas, férias, ausências e banco de horas
• Tipos e motivos de ausência, incluindo texto livre
• Documentos e anexos carregados pelo Cliente ou pelos seus utilizadores
• Informação de planeamento de pessoal e substituições
• Registos técnicos de acesso e segurança necessários à operação
• Comunicações de suporte iniciadas pelo Cliente

Os dados de faturação e de subscrição tratados pela Floworks para a relação comercial são, em regra, tratados na qualidade de responsável e não como dados de força de trabalho do Cliente.

6. Categorias especiais de dados (artigo 9.º)

A Floworks é uma plataforma de gestão operacional de força de trabalho. Não é um sistema de processo clínico nem um arquivo médico.

A plataforma pode conter dados de categorias especiais, ou dados adjacentes a categorias especiais, quando o Cliente os introduz, incluindo:

• o tipo de ausência «Consulta Médica»; • motivos de ausência em texto livre; • documentos e anexos de colaboradores; • outro conteúdo que o Cliente ou os seus utilizadores carreguem e que possa incluir informação de saúde ou outra informação do artigo 9.º.

O Cliente, na qualidade de responsável pelo tratamento, é responsável por estabelecer a base legal e, quando aplicável, a condição do artigo 9.º do RGPD para esse tratamento. A Floworks não determina essa condição em nome do Cliente.

A Floworks trata esses dados apenas na medida em que sejam fornecidos ou instruídos pelo Cliente e sejam necessários ao serviço configurado. A Floworks prestará assistência razoável ao Cliente, na medida das capacidades técnicas da plataforma, relativamente a este tratamento.

Os Clientes não devem utilizar a plataforma para carregar diagnósticos, relatórios clínicos, medicação ou outros pormenores médicos desnecessários à finalidade administrativa.

7. Categorias de titulares

Colaboradores, gestores, administradores, secretariado e outros utilizadores autorizados pelo Cliente; eventualmente contactos de suporte ou convidados designados pelo Cliente.

8. Confidencialidade

As pessoas autorizadas da Floworks que tratam dados pessoais do Cliente estão sujeitas a obrigações de confidencialidade. O acesso é limitado ao necessário à prestação do serviço, à segurança, ao suporte e ao cumprimento de obrigações legais.

9. Medidas técnicas e organizativas

A Floworks aplica medidas técnicas e organizativas adequadas ao risco, na configuração atual da plataforma, incluindo:

• Autenticação de utilizadores e autorização baseada em funções (RBAC) no âmbito do inquilino do Cliente
• Isolamento multi-tenant e regras de segurança do Firestore
• Novos documentos de colaboradores e anexos de ausências: entrega autenticada na Cloudinary, identificadores opacos e APIs same-origin da Floworks — não Firebase Storage. Objetos históricos e media pública (perfil, logótipo, inventário) não são cobertos por uma garantia de privacidade total
• Limitação de taxa (rate limiting) em rotas da API, quando implementada
• Tratamento de credenciais e de cookies de sessão no servidor
• Registos de auditoria em áreas da plataforma e registos de acesso justificado do proprietário da plataforma (owner_access_logs)
• Controlos de cópia de segurança e de recuperação no âmbito da infraestrutura e das funcionalidades disponíveis — RPO/RTO não afirmados

As comunicações com a aplicação são servidas sobre HTTPS/TLS. Este DPA não afirma encriptação em repouso para além da que for prestada pelos serviços subjacentes, nem certificação ISO, SOC 2 ou equivalente. Nenhuma medida garante a ausência absoluta de incidentes.

10. Ficheiros de colaboradores

Os carregamentos novos de ficheiros de ausências e de documentos de colaboradores utilizam entrega autenticada na Cloudinary, identificadores opacos, APIs same-origin da Floworks, verificação de autenticação, inquilino e RBAC, e associação do ativo ao registo. O acesso assinado à Cloudinary é gerado no servidor e não é devolvido ao browser.

O proprietário da plataforma não é um administrador silencioso do inquilino para estes ficheiros. O acesso de suporte do proprietário, quando ocorre, utiliza controlos de acesso justificado (break-glass) descritos na secção seguinte.

Este DPA não afirma que todos os objetos históricos da Cloudinary foram já migrados, nem que todos os ficheiros de clientes são privados e inacessíveis através de URL públicos. Existe compatibilidade com objetos mais antigos. Fotografias de perfil, logótipos e imagens de inventário permanecem, por conceção do produto, em entrega pública.

11. Acesso de suporte da plataforma (break-glass)

O proprietário da plataforma não acede a dados de colaboradores do Cliente apenas por ser proprietário da plataforma.

Quando o suporte da plataforma exigir acesso a dados de força de trabalho do Cliente, o acesso justificado exige, na configuração atual:

• Autenticação do proprietário da plataforma
• Indicação explícita da empresa (inquilino)
• Motivo explícito (mínimo 12 caracteres)
• Âmbito, quando aplicável
• Registo em owner_access_logs (incluindo tentativas inválidas)

Este acesso destina-se a suporte, segurança e operação do serviço. É excecional, necessário, proporcional, limitado ao pedido HTTP, registado e revistável. Não substitui as permissões do Cliente. Não constitui personificação. MFA e expiração automática de uma concessão multi-pedido não estão implementadas; duração máxima se forem introduzidas: [MAXIMUM BREAK-GLASS DURATION — TO BE CONFIRMED].

12. Subcontratantes ulteriores (subprocessadores)

A Floworks recorre a subcontratantes ulteriores na medida necessária para prestar o serviço. A Floworks permanece responsável perante o Cliente pelos atos desses subprocessadores, na medida exigida pelo artigo 28.º do RGPD, e impõe-lhes obrigações de proteção de dados adequadas na medida exigida.

A lista descritiva dos prestadores confirmados na configuração atual da aplicação consta do Anexo B. Não são inventados prestadores, entidades legais, países nem mecanismos de transferência.

Procedimento de alteração de subprocessadores:

• A Floworks notificará o Cliente de uma alteração material (adição ou substituição) de subprocessador que trate dados de força de trabalho do Cliente, por meio razoável (incluindo email do administrador, aviso na aplicação ou atualização do Anexo B no Centro de Conformidade)
• O prazo de oposição proposto é de [PRAZO DE OBJEÇÃO — PROPOSTA: 15 DIAS CORRIDOS — A CONFIRMAR], contado da notificação ou da publicação, o que ocorrer em último lugar
• A oposição deve ser fundamentada em motivos razoáveis de proteção de dados (por exemplo, o subprocessador proposto não oferecer garantias adequadas ao artigo 28.º)
• As partes procurarão de boa-fé uma medida alternativa razoável (incluindo a não utilização da funcionalidade afetada, se tecnicamente possível)
• Se não for possível uma alternativa razoável, o Cliente pode cessar a funcionalidade afetada ou, quando a alteração for essencial ao serviço no seu conjunto, cessar o contrato relativamente ao serviço afetado, sem prejuízo de quantias devidas
• A ausência de oposição no prazo constitui autorização para essa alteração, na medida permitida pelo artigo 28.º

O email transacional, quando configurado, é enviado através de SMTP. O prestador concreto e o alojamento da aplicação não estão especificados neste DPA. Stripe trata predominantemente dados de faturação na qualidade de responsável da Floworks quanto à relação comercial.

Termos de Tratamento de Dados da Firebase · Subprocessadores da Firebase · Documentação de privacidade da Firebase · Política de Privacidade da Stripe · Política de Privacidade da Cloudinary

13. Transferências internacionais

Alguns prestadores tecnológicos utilizados pela Floworks podem tratar dados fora do Espaço Económico Europeu. Este DPA não afirma que os dados são tratados apenas no EEE, nem que existe preferência verificada de tratamento no EEE, nem que estão em vigor cláusulas contratuais-tipo, decisões de adequação ou medidas suplementares relativamente a um prestador concreto.

Quadro aplicável quando ocorra uma transferência sujeita ao Capítulo V do RGPD:

• Tratamento no EEE: apenas quando a localização estiver verificada para o prestador em causa — [LOCALIZAÇÃO EEE — A CONFIRMAR POR PRESTADOR]
• Decisão de adequação: apenas se a Comissão Europeia a tiver adotado e estiver em vigor para o destinatário — [ADEQUAÇÃO — A CONFIRMAR POR PRESTADOR]
• Cláusulas Contratuais-Tipo (CCT / SCC): apenas se estiverem efetivamente celebradas ou incorporadas nos termos do prestador — [CCT — A CONFIRMAR POR PRESTADOR]
• Avaliação de impacto da transferência (TIA) e medidas suplementares: quando exigidas e quando a Floworks as tiver realizado ou delas dispuser através do prestador — [TIA / MEDIDAS SUPLEMENTARES — A CONFIRMAR]
• Transferências ulteriores pelo subprocessador: reagem-se pelos termos desse prestador e pelo artigo 28.º, n.º 4

O mecanismo concreto, a entidade legal e a localização de cada prestador constam do Anexo B quando verificados. Enquanto não verificados, permanecem [A CONFIRMAR] e devem ser lidos na documentação oficial vigente do prestador.

14. Tratamento por inteligência artificial

A plataforma disponibiliza funcionalidades assistidas por inteligência artificial, quando incluídas no plano, recorrendo à Gemini API da Google (via Genkit). O modelo predefinido no código é googleai/gemini-2.5-flash. Não está confirmado o uso de Vertex AI.

No fluxo de staffing, o contexto enviado ao modelo inclui, consoante o caso, nomes de colaboradores, identificadores, pontuações, ordenações/recomendações e contexto operacional de substituições. Esse fluxo não envia o tipo de ausência, o motivo de ausência nem os ficheiros de ausência.

Outras funcionalidades de IA podem tratar texto livre fornecido pelo utilizador (por exemplo, perguntas de suporte ou pedidos de análise operacional). O ranking de substituições por motor determinístico não é enviado como treino; as etiquetas de fatores podem ser enviadas ao LLM de staffing.

A. A Floworks não treina modelos de inteligência artificial próprios com os dados dos Clientes. B. Este DPA não afirma que o fornecedor de IA não utiliza dados para treino, que os dados de IA nunca saem do EEE, nem que os dados de IA nunca são conservados. C. As obrigações de subprocessador da Floworks e o Anexo B aplicam-se ao tratamento por Gemini quando este trate dados de força de trabalho por conta do Cliente. D. O regime Paid vs Unpaid da Gemini API, o DPA Google aplicável, a entidade legal, a localização e a cadeia de subprocessadores Google são [REQUIRES CONTRACTUAL VERIFICATION].

Os resultados de IA são assistivos e destinam-se a revisão humana. A Floworks não toma decisões laborais autónomas. O Cliente permanece responsável pela forma como utiliza as recomendações em decisões de emprego. A existência de revisão humana não elimina automaticamente as obrigações do artigo 22.º do RGPD, quando estas sejam aplicáveis ao tratamento do Cliente. A classificação no AI Act não é afirmada neste DPA.

14A. Posição contratual do prestador de IA

A Google (Gemini API, via Genkit googleai/*, chave GEMINI_API_KEY) é tratada como subprocessador ulterior na medida em que trate dados de força de trabalho por conta do Cliente para recomendações assistivas. Não se afirma que a Google é apenas subprocessador em todos os tratamentos (termos públicos Paid: processadora quanto a prompts/respostas; outros dados de conta/telemetria podem ter papel distinto). Vertex AI: não confirmado. Estatuto Paid do projeto: [REQUIRES CONTRACTUAL VERIFICATION]. Treino, retenção, localização, revisão humana pelo fornecedor, e DPA Google aplicável: não afirmados. CCT/adequação/EEE-only: não afirmados.

15. Assistência — direitos dos titulares

O Cliente, na qualidade de responsável pelo tratamento dos dados de força de trabalho, é responsável por responder aos pedidos dos titulares.

A Floworks prestará assistência razoável, por um processo operacional (incluindo o contacto de privacidade abaixo), na medida em que as capacidades técnicas da plataforma o permitam, relativamente a:

• Acesso
• Retificação
• Apagamento
• Limitação
• Oposição
• Portabilidade, quando aplicável
• Outros direitos aplicáveis ao tratamento do Cliente

Este DPA não promete um portal de autoatendimento para pedidos de titulares. A Floworks não elimina, altera nem divulga, por iniciativa própria, dados de trabalhadores do Cliente quando tal conflituar com as instruções do responsável ou com obrigações legais.

16. Assistência — segurança, DPIA e consulta prévia

A Floworks prestará assistência razoável ao Cliente, tendo em conta a natureza do tratamento e a informação disponível à Floworks, para:

• o cumprimento das obrigações de segurança do artigo 32.º do RGPD, na medida aplicável ao serviço; • a notificação e a comunicação de violações de dados pessoais, nos termos da secção seguinte; • avaliações de impacto (DPIA), quando o Cliente as realizar e a assistência for tecnicamente pertinente; • a consulta prévia da autoridade de controlo, quando aplicável.

A Floworks não afirma ter concluído uma DPIA em nome do Cliente, nem substitui a avaliação de risco que incumbe ao responsável pelo tratamento.

17. Violações de dados pessoais

A Floworks considera-se ciente de uma violação de dados pessoais que afete dados pessoais do Cliente quando, através dos seus canais operacionais (incluindo monitorização, suporte ou comunicação confirmada), confirma a ocorrência de um incidente que constitua violação de dados pessoais nos termos do RGPD.

Após ter esse conhecimento, a Floworks notificará o Cliente sem demora indevida e prestará a informação razoavelmente disponível para que o Cliente avalie as suas próprias obrigações, incluindo, quando aplicável, a notificação à autoridade de controlo.

Este DPA não estabelece um prazo horário contratual específico (incluindo o prazo de 72 horas aplicável ao responsável perante a autoridade). Alvos operacionais internos de resposta a incidentes, se existirem, constam da política interna e não deste DPA.

O Cliente permanece responsável pelas suas obrigações de notificação na qualidade de responsável pelo tratamento.

18. Conservação

Não existe um prazo único e uniforme para todos os dados. O quadro de conservação consta do Anexo C. Os prazos concretos são [PERÍODO DE RETENÇÃO — A CONFIRMAR] por categoria, salvo instrução do Cliente ou obrigação legal.

• Os dados de força de trabalho tratados como subcontratante são conservados segundo as instruções e a configuração do Cliente, durante a prestação do serviço
• Os dados de contas, faturação e relação comercial tratados pela Floworks como responsável seguem as finalidades e obrigações legais correspondentes
• Os registos de segurança, de auditoria e de acesso justificado (incluindo owner_access_logs) podem ser conservados pelo tempo necessário à segurança, à prevenção de abuso e à defesa de direitos
• As notificações, os registos de IA quando existam, e as cópias de segurança podem persistir pelos prazos técnicos da infraestrutura e dos subprocessadores
• A conservação legalmente exigida e as retenções judiciais (legal holds) prevalecem sobre pedidos de eliminação incompatíveis

19. Devolução, exportação e eliminação

Após a cessação do serviço ou a pedido de encerramento de conta, aplica-se o Anexo D (offboarding) e o Anexo E (exportação):

• O Cliente pode solicitar a exportação dos dados disponíveis, dentro de [PRAZO DE EXPORTAÇÃO — PROPOSTA: 30 DIAS — A CONFIRMAR] e na medida das capacidades da plataforma
• A Floworks eliminará ou anonimizará os dados pessoais do Cliente sob o seu controlo nos sistemas de produção, segundo o procedimento operacional de encerramento de conta
• Podem subsistir cópias de segurança, registos operacionais ou de segurança, e dados conservados por obrigação legal, legal hold ou por subprocessadores, pelo tempo tecnicamente ou legalmente necessário
• A Floworks prestará, a pedido razoável, uma confirmação operacional de que o procedimento de eliminação de produção foi iniciado ou concluído; esta confirmação não é uma certificação forense de apagamento em todos os subprocessadores

A plataforma dispõe de funcionalidades de recuperação e de eliminação permanente pontual de certos registos. Não existe, na configuração atual, um fluxo automatizado de eliminação imediata e completa de todos os armazéns de dados e de todos os subprocessadores.

Este DPA não promete uma eliminação imediata, total e automatizada. O prazo concreto de encerramento operacional é [PRAZO DE OFFBOARDING DE PRODUÇÃO — A CONFIRMAR].

20. Auditoria e demonstração de conformidade

O Cliente pode solicitar informação razoavelmente necessária para demonstrar o cumprimento das obrigações do artigo 28.º, incluindo descrições das medidas aplicadas e, quando existam e sejam partilháveis, relatórios ou documentação dos subprocessadores.

As auditorias são razoáveis e não invasivas. Este DPA não concede:

• Acesso irrestrito ao código-fonte
• Acesso à base de dados de produção
• Testes de penetração sem acordo prévio
• Acesso a dados de outros clientes

Auditorias presenciais ou técnicas aprofundadas apenas mediante acordo prévio, aviso razoável e sem comprometer a segurança ou a confidencialidade de outros clientes. Este DPA não invoca certificações que a Floworks não detenha.

21. Responsabilidades do Cliente

O Cliente, na qualidade de responsável pelo tratamento dos dados de força de trabalho que introduz na plataforma, é responsável por:

• Determinar as finalidades lícitas e as bases legais do seu tratamento
• Estabelecer as condições do artigo 9.º, quando aplicável
• Prestar aos trabalhadores a informação e as comunicações exigidas
• Configurar utilizadores e permissões de forma adequada (incluindo administrador, gestor, secretariado e colaborador)
• Decidir quem pode ver informação de ausências e documentos
• Decidir como utiliza recomendações de inteligência artificial em decisões de emprego
• Assegurar que o conteúdo carregado é adequado e lícito
• Responder aos pedidos dos titulares
• Realizar a sua própria DPIA, quando exigida

Estas responsabilidades não transferem para o Cliente as obrigações técnicas que incumbem à Floworks enquanto subcontratante. O Cliente não pode exigir a desativação dos controlos de segurança da Floworks nem o acesso a dados de outros clientes.

22. Contacto

Privacidade / DPA: [email protected]. Suporte: [email protected]. Contacto geral: /contact.

Lei aplicável: Lei portuguesa e Regulamento (UE) 2016/679 (RGPD).

[email protected] · Comissão Nacional de Proteção de Dados (CNPD)

23. Alterações a este DPA

A versão 1.6.0 acrescenta a tabela estruturada do Anexo A-1, a posição do prestador Gemini sem afirmações não verificadas, e a interação de responsabilidade com os Termos (sem indemnização ilimitada nem teto autónomo em euros). Mantém TOMs Cloudinary, Anexo I sem CCT/adequação/TIA inventadas, ciclo de vida sem wipe automático e notificação sem demora indevida (sem SLA de 72 horas da Floworks subprocessadora). Identidade da Floworks: [TO BE CONFIRMED AFTER LEGAL ENTITY SETUP]. As versões anteriores permanecem arquivadas.

Anexo A — Descrição do tratamento (artigo 28.º)

Este anexo descreve o tratamento em que a Floworks atua como subcontratante. Não inventa categorias que o produto não processe. Itens incertos estão marcados para confirmação.

• Objeto: alojamento e operação da plataforma SaaS Floworks para gestão operacional de força de trabalho do Cliente
• Duração: vigência do serviço e períodos residuais de backups, logs e retenção legal (Anexo C e D)
• Natureza: alojamento, armazenamento, apresentação, transmissão, notificação, cópia de segurança e suporte técnico
• Finalidade: prestar as funcionalidades configuradas pelo Cliente (Anexo A / secção 4 do DPA); não «melhoria irrestrita da plataforma» com conteúdo de força de trabalho
• Titulares: colaboradores, gestores, administradores, secretariado e outros utilizadores autorizados pelo Cliente; contactos de suporte ou convidados designados pelo Cliente
• Dados: identificação e contacto profissionais; dados profissionais; assiduidade, escalas, férias, ausências e banco de horas; tipos e motivos de ausência; documentos e anexos; planeamento de pessoal; registos técnicos de acesso; comunicações de suporte iniciadas pelo Cliente
• Categorias especiais: não é um arquivo clínico; podem existir dados de saúde ou adjacentes quando o Cliente os introduz (p. ex. «Consulta Médica», texto livre, anexos). Condição do artigo 9.º: responsabilidade do Cliente
• Frequência: contínua, segundo a utilização do Cliente
• Operações: recolha via interface; armazenamento em Cloud Firestore; ficheiros em Cloudinary (entrega autenticada para novos ficheiros de colaboradores); notificações (FCM e centro autenticado); IA generativa (Gemini/Genkit) quando utilizada; email transacional SMTP se configurado
• Localizações: [LOCALIZAÇÃO DE TRATAMENTO POR PRESTADOR — A CONFIRMAR]. Este DPA não afirma tratamento exclusivo no EEE
• Subprocessadores: Anexo B

Anexo A-1 — Tabela estruturada da descrição do tratamento

Quadro do artigo 28.º, n.º 3. Não inventa localizações, prazos nem prestadores. Complementa o Anexo A narrativo. Geografia: [LOCALIZAÇÃO DE ALOJAMENTO — A CONFIRMAR].

• Atividade: Alojamento operacional da conta do inquilino (força de trabalho) | Finalidade: Prestar o serviço SaaS configurado pelo Cliente | Titulares: Colaboradores, gestores, administradores, secretariado e outros utilizadores autorizados pelo Cliente | Categorias de dados: Identificação e contacto profissionais; dados profissionais; assiduidade, escalas, férias, ausências (metadados), banco de horas; documentos (identificadores); staffing; inventário quando utilizado | Categorias especiais: Não é arquivo clínico. Podem existir dados de saúde ou adjacentes se o Cliente os introduzir (p. ex. tipo «Consulta Médica», texto livre, anexos). Condição do art. 9.º: Cliente | Natureza: Alojamento, armazenamento, apresentação, transmissão, notificação, backup e suporte | Frequência: Contínua, segundo a utilização | Sistemas: Aplicação Floworks; Cloud Firestore | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] (duração do serviço + offboarding; purges pontuais de produto quando implementadas) | Geografia do tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Subprocessadores: Google (Firestore); demais Anexo B conforme o módulo
• Atividade: Ficheiros de colaboradores e anexos de ausências (novos carregamentos) | Finalidade: Armazenar e entregar documentos instruídos pelo Cliente | Titulares: Colaboradores e utilizadores que carreguem ficheiros | Categorias de dados: Ficheiros e metadados associados; identificadores opacos | Categorias especiais: Possível se o conteúdo do ficheiro o contiver; a Floworks não classifica o conteúdo clínico | Natureza: Armazenamento e entrega autenticada | Frequência: Segundo os carregamentos do Cliente | Sistemas: Cloudinary via /api/files/* (não Firebase Storage). Objetos históricos e media pública (perfil, logótipo, inventário): ver DPA §10 — sem garantia de privacidade total | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Geografia do tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Subprocessadores: Cloudinary
• Atividade: Staffing — ranking determinístico | Finalidade: Elegibilidade e pontuação de candidatos a substituição | Titulares: Colaboradores considerados pelo motor | Categorias de dados: Identificadores, função, disponibilidade, flags de férias/ausência como indisponibilidade, horário, carga — não tipo/motivo/ficheiros de ausência | Categorias especiais: Não envia conteúdo de atestados; usa indisponibilidade | Natureza: Cálculo na aplicação (sem Genkit) | Frequência: Quando o Cliente cria pedidos de substituição | Sistemas: replacement-ranker.ts; Firestore | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] (snapshots/alertas 90d, substituições 180d, jobs 30d quando implementado no produto) | Geografia do tratamento: Cálculo na aplicação; persistência conforme Firestore — [PAÍS / REGIÃO — A CONFIRMAR] | Subprocessadores: Google (Firestore) para persistência; sem LLM neste passo
• Atividade: Staffing — recomendações Gemini (quando o plano inclui staffing_ai) | Finalidade: Síntese e reordenação aconselhável de candidatos já existentes | Titulares: Colaboradores ausentes e candidatos incluídos no payload | Categorias de dados: Nomes, IDs, pontuações, etiquetas de fatores, contexto operacional de substituições. Não envia tipo, motivo nem ficheiros de ausência | Categorias especiais: Não enviadas neste fluxo | Natureza: Transmissão a modelo generativo; apresentação na UI; sem auto-apply | Frequência: Quando um utilizador autorizado solicita insights | Sistemas: Genkit googleai/*; GEMINI_API_KEY; StaffingRavenAiPanel | Conservação: Metadados STAFFING_AI_REQUESTED/VIEWED; arquivo de prompts não identificado. Conservação Google: [REQUIRES CONTRACTUAL VERIFICATION] | Geografia do tratamento: [PAÍS / REGIÃO — A CONFIRMAR] (Gemini). Paid/Unpaid e DPA Google: [REQUIRES CONTRACTUAL VERIFICATION] | Subprocessadores: Google Gemini (papel misto / subprocessador na medida em que trate dados de força de trabalho por conta do Cliente — [REQUIRES CONTRACTUAL VERIFICATION])
• Atividade: Notificações push e centro autenticado | Finalidade: Avisar utilizadores de eventos operacionais | Titulares: Utilizadores que ativem push / usem o centro | Categorias de dados: Tokens de dispositivo; conteúdo genérico de push (não se afirma o conteúdo histórico completo) | Categorias especiais: Não identificado como finalidade | Natureza: Transmissão | Frequência: Segundo eventos do produto | Sistemas: FCM; Centro de Notificações autenticado | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Geografia do tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Subprocessadores: Google (FCM)
• Atividade: Suporte da plataforma (break-glass) e diagnóstico | Finalidade: Suporte, segurança e operação, não administração silenciosa do inquilino | Titulares: Conforme o âmbito indicado no pedido | Categorias de dados: Dados de força de trabalho na medida do motivo e âmbito registados | Categorias especiais: Possível se o âmbito o incluir | Natureza: Acesso pontual autenticado do owner; registo em owner_access_logs | Frequência: Excecional, por pedido | Sistemas: Consola owner; Firestore logs | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Geografia do tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Subprocessadores: Infraestrutura confirmada no Anexo B; Railway/SMTP só se confirmados
• Atividade: Email transacional (se SMTP configurado) | Finalidade: Mensagens transacionais do serviço | Titulares: Destinatários configurados pelo Cliente / conta | Categorias de dados: Endereço de email e conteúdo da mensagem transacional | Categorias especiais: Não como finalidade; possível se o conteúdo o contiver | Natureza: Transmissão | Frequência: Quando o envio estiver configurado | Sistemas: SMTP_HOST — prestador [ENTIDADE LEGAL — A CONFIRMAR] | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Geografia do tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Subprocessadores: Candidato não verificado como facto DPA — [TO BE CONFIRMED]

Faturação Stripe trata-se predominantemente na qualidade de responsável da Floworks e não como linha de subprocessador de força de trabalho. Alojamento Railway: candidato de configuração, não facto DPA verificado.

Anexo B — Lista e governação de subprocessadores

Apenas prestadores confirmados no produto ou, quando indicado, candidatos identificados na configuração de implementação. Não se inventam prestadores. Entidade legal, país, localização, mecanismo de transferência, DPA do prestador e estado contratual permanecem [A CONFIRMAR] quando não verificados.

• Prestador: Google (Firebase Authentication) | Entidade legal: [ENTIDADE LEGAL — A CONFIRMAR] | Serviço: Autenticação de utilizadores | Papel: subprocessor — Subprocessador relativamente a identificadores de conta necessários à autenticação do serviço. Google pode atuar também como responsável por dados de conta/telemetria próprios — [REQUIRES CONTRACTUAL VERIFICATION] | Dados tratados: Identificadores de conta, email de autenticação, metadados de sessão/autenticação necessários ao Firebase Auth | Finalidade: Autenticar Utilizadores e manter sessões da plataforma | Titulares: Utilizadores da conta do Cliente (administradores, gestores, secretariado, colaboradores, academy quando utilizada) | Localização de tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Localização de alojamento: [LOCALIZAÇÃO DE ALOJAMENTO — A CONFIRMAR] | Transferência internacional: Possível tratamento fora do EEE — não afirmado nem excluído | Mecanismo de transferência: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | DPA: Termos de Tratamento de Dados da Firebase (documentação pública). Estado de aceitação pela Floworks: [ESTADO CONTRATUAL — A CONFIRMAR] | Cadeia de subprocessadores: Lista pública de subprocessadores da Firebase — [CADEIA DE SUBPROCESSADORES DO PRESTADOR — A CONFIRMAR] | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Treino / uso de Dados do Cliente: Não aplicável como treino de modelo Gemini. Utilização para melhoria de produtos Google: [REQUIRES CONTRACTUAL VERIFICATION] | Salvaguardas: HTTPS/TLS na aplicação; controlos do Firebase. Encriptação em repouso / ISO / SOC 2 da Floworks: não afirmados. Salvaguardas do prestador: [SALVAGUARDAS CONFIRMADAS DO PRESTADOR — A CONFIRMAR] | Estado contratual: [ESTADO CONTRATUAL — A CONFIRMAR] | Divulgação pública: Sim — subprocessador de dados de conta / acesso
• Prestador: Google (Cloud Firestore) | Entidade legal: [ENTIDADE LEGAL — A CONFIRMAR] | Serviço: Base de dados operacional | Papel: subprocessor — Subprocessador principal de Dados do Cliente persistidos na plataforma | Dados tratados: Dados operacionais introduzidos pelo Cliente, incluindo dados de força de trabalho, configurações, assiduidade, escalas, férias, ausências (metadados), documentos (metadados/identificadores), staffing, inventário quando utilizado, e registos técnicos da aplicação | Finalidade: Persistência e consulta dos dados necessários à prestação do serviço | Titulares: Titulares descritos no Anexo A do DPA (colaboradores e utilizadores autorizados pelo Cliente) | Localização de tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Localização de alojamento: [LOCALIZAÇÃO DE ALOJAMENTO — A CONFIRMAR] | Transferência internacional: Possível tratamento fora do EEE — não afirmado nem excluído | Mecanismo de transferência: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | DPA: Termos de Tratamento de Dados da Firebase (documentação pública). Estado de aceitação: [ESTADO CONTRATUAL — A CONFIRMAR] | Cadeia de subprocessadores: Lista pública de subprocessadores da Firebase — [CADEIA DE SUBPROCESSADORES DO PRESTADOR — A CONFIRMAR] | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Treino / uso de Dados do Cliente: Não é um modelo de IA. Utilização para melhoria de produtos Google: [REQUIRES CONTRACTUAL VERIFICATION] | Salvaguardas: Regras de segurança Firestore e isolamento multi-tenant na aplicação. Salvaguardas do prestador: [SALVAGUARDAS CONFIRMADAS DO PRESTADOR — A CONFIRMAR] | Estado contratual: [ESTADO CONTRATUAL — A CONFIRMAR] | Divulgação pública: Sim
• Prestador: Google (Firebase Cloud Messaging) | Entidade legal: [ENTIDADE LEGAL — A CONFIRMAR] | Serviço: Notificações push | Papel: subprocessor — Subprocessador de entrega de avisos push genéricos | Dados tratados: Identificadores de dispositivo/token e conteúdo genérico de push. A Política de Privacidade vigente não afirma que o conteúdo visível das notificações push inclui sempre o nome do utilizador e a natureza do evento | Finalidade: Avisar o dispositivo do utilizador quando o push está ativo | Titulares: Utilizadores que ativem notificações push | Localização de tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Localização de alojamento: [LOCALIZAÇÃO DE ALOJAMENTO — A CONFIRMAR] | Transferência internacional: Possível tratamento fora do EEE — não afirmado nem excluído | Mecanismo de transferência: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | DPA: Termos de Tratamento de Dados da Firebase — [ESTADO CONTRATUAL — A CONFIRMAR] | Cadeia de subprocessadores: [CADEIA DE SUBPROCESSADORES DO PRESTADOR — A CONFIRMAR] | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Treino / uso de Dados do Cliente: Não aplicável como treino Gemini. [REQUIRES CONTRACTUAL VERIFICATION] | Salvaguardas: [SALVAGUARDAS CONFIRMADAS DO PRESTADOR — A CONFIRMAR] | Estado contratual: [ESTADO CONTRATUAL — A CONFIRMAR] | Divulgação pública: Sim, quando o push está em uso
• Prestador: Google (Gemini, via Genkit / Gemini API) | Entidade legal: [ENTIDADE LEGAL — A CONFIRMAR] | Serviço: IA generativa (modelo predefinido googleai/gemini-2.5-flash, com fallback flash-lite/pro). Integração por chave GEMINI_API_KEY / GOOGLE_GENAI_API_KEY / GOOGLE_API_KEY — API de programador Gemini, não confirmada como Vertex AI | Papel: mixed — Subprocessador quando trata prompts com dados de força de trabalho por instrução da Floworks. Nos termos públicos da Gemini API (Paid Services), a Google declara processar prompts/respostas ao abrigo do DPA em que a Google é processadora; dados de conta/telemetria podem ter regime responsável-responsável. Papel concreto da Floworks vs Google: [REQUIRES CONTRACTUAL VERIFICATION] | Dados tratados: Staffing: nomes, IDs, pontuações, etiquetas de fatores de ranking, contexto operacional de substituições — não envia tipo/motivo/ficheiros de ausência. Executive/inventory/Raven: agregados operacionais (executive sem nomes). Suporte: texto livre e, opcionalmente, displayName. Ver inventário de IA | Finalidade: Gerar recomendações, sínteses, ordenações e respostas assistivas quando o plano e a chave o permitem | Titulares: Consoante o fluxo: colaboradores visíveis no staffing; autores de perguntas de suporte; em executive/inventory tipicamente sem identificação nominal | Localização de tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Localização de alojamento: Termos públicos Paid Services: dados podem ser armazenados transitoriamente ou em cache em qualquer país onde a Google ou agentes mantenham instalações — [REQUIRES CONTRACTUAL VERIFICATION] | Transferência internacional: Possível e não mapeado por região de projeto — [REQUIRES CONTRACTUAL VERIFICATION] | Mecanismo de transferência: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | DPA: Para Paid Services, a Google remete ao Data Processing Addendum for Products Where Google is a Data Processor. Aplicação efetiva ao projeto/chave da Floworks: [REQUIRES CONTRACTUAL VERIFICATION] | Cadeia de subprocessadores: [CADEIA DE SUBPROCESSADORES DO PRESTADOR — A CONFIRMAR] | Conservação: Floworks: não foi identificado arquivo dedicado de prompts. Google Paid Services: registo por período limitado para segurança/abuso — duração concreta [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Treino / uso de Dados do Cliente: A Floworks não treina modelos próprios. Treino/melhoria pela Google depende de Paid vs Unpaid Services e do projeto Cloud associado à chave. Não publicado como garantia ao Cliente. [REQUIRES CONTRACTUAL VERIFICATION] | Salvaguardas: [SALVAGUARDAS CONFIRMADAS DO PRESTADOR — A CONFIRMAR] | Estado contratual: Termos públicos Gemini API Additional Terms (eficazes 23 de março de 2026) identificados; contrato enterprise / projeto faturado / DPA assinado: [ESTADO CONTRATUAL — A CONFIRMAR] | Divulgação pública: Sim — tratamento de dados de força de trabalho no staffing e texto livre no suporte
• Prestador: Cloudinary | Entidade legal: [ENTIDADE LEGAL — A CONFIRMAR] | Serviço: Armazenamento e entrega de imagens e ficheiros | Papel: subprocessor — Subprocessador de objetos multimédia e ficheiros de colaboradores | Dados tratados: Ficheiros e metadados: novos documentos/anexos de ausências em entrega autenticada (pastas flowworks/documents e flowworks/absences); fotografias de perfil, logótipos e inventário em entrega pública por conceção. Objetos legados tipo upload podem existir | Finalidade: Alojar e entregar media e documentos necessários ao serviço | Titulares: Colaboradores e utilizadores que carreguem ficheiros | Localização de tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Localização de alojamento: [LOCALIZAÇÃO DE ALOJAMENTO — A CONFIRMAR] | Transferência internacional: Possível — não afirmado nem excluído | Mecanismo de transferência: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | DPA: Política de privacidade pública Cloudinary. DPA contratual: [DPA DO PRESTADOR — A CONFIRMAR] | Cadeia de subprocessadores: [CADEIA DE SUBPROCESSADORES DO PRESTADOR — A CONFIRMAR] | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Treino / uso de Dados do Cliente: Não identificado no produto Floworks. Utilização pela Cloudinary: [REQUIRES CONTRACTUAL VERIFICATION] | Salvaguardas: Novos ficheiros protegidos: type authenticated, IDs opacos, URL assinado gerado no servidor (TTL 60s), bytes transmitidos pela API Floworks, Cache-Control private no-store, URL Cloudinary não devolvido ao browser. Objetos públicos e legados: ver política de ficheiros. Salvaguardas do prestador: [SALVAGUARDAS CONFIRMADAS DO PRESTADOR — A CONFIRMAR] | Estado contratual: [ESTADO CONTRATUAL — A CONFIRMAR] | Divulgação pública: Sim
• Prestador: Stripe | Entidade legal: [ENTIDADE LEGAL — A CONFIRMAR] | Serviço: Checkout de subscrição, Billing Portal, webhooks, alteração de plano | Papel: mixed — A Floworks atua como responsável pelo tratamento da relação comercial de faturação. A Stripe trata o checkout de cartões na sua página alojada. A Stripe pode ser responsável independente quanto a dados de método de pagamento (PCI) e processadora quanto a outros dados de serviços Stripe. Classificação contratual completa: [REQUIRES CONTRACTUAL VERIFICATION] | Dados tratados: Confirmado no código: email do cliente ou identificador Stripe, client_reference_id = companyId, metadados companyId/plan/billingInterval, billing_address_collection auto. Identificadores stripeCustomerId e stripeSubscriptionId na ficha da empresa. Não existem campos de número de cartão no código Floworks. Este registo não afirma que um número de cartão nunca possa ser introduzido noutro canal (p. ex. texto livre de suporte) | Finalidade: Faturação e gestão da subscrição da Floworks — não é tratamento de dados de força de trabalho do Cliente por conta do Cliente | Titulares: Contactos de faturação / administradores da empresa cliente | Localização de tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Localização de alojamento: [LOCALIZAÇÃO DE ALOJAMENTO — A CONFIRMAR] | Transferência internacional: Possível — não afirmado nem excluído | Mecanismo de transferência: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | DPA: Política de privacidade Stripe. DPA / Services Agreement Stripe: [DPA DO PRESTADOR — A CONFIRMAR] | Cadeia de subprocessadores: [CADEIA DE SUBPROCESSADORES DO PRESTADOR — A CONFIRMAR] | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Treino / uso de Dados do Cliente: Não aplicável a treino de modelos Floworks. Utilização pela Stripe: [REQUIRES CONTRACTUAL VERIFICATION] | Salvaguardas: Checkout/Portal alojados pela Stripe. A Floworks não armazena os dados completos de cartões. Salvaguardas PCI da Stripe: [SALVAGUARDAS CONFIRMADAS DO PRESTADOR — A CONFIRMAR] | Estado contratual: [ESTADO CONTRATUAL — A CONFIRMAR] | Divulgação pública: Sim, como prestador de pagamentos / responsável independente quanto a métodos de pagamento; não como subprocessador típico de Customer Data de força de trabalho
• Prestador: Railway (alvo de implementação identificado na configuração da aplicação) | Entidade legal: [ENTIDADE LEGAL — A CONFIRMAR] | Serviço: Alojamento/implementação da aplicação Next.js. Evidência: RAILWAY_PUBLIC_DOMAIN, RAILWAY_GIT_COMMIT_SHA, RAILWAY_REPLICA_REGION, platform-env.ts. Não é um SDK de dados | Papel: candidate_unconfirmed — Se a produção tratar Dados do Cliente neste ambiente, o papel adequado é subprocessador de alojamento da aplicação (tratamento em memória/trânsito/registos de runtime). O DPA 1.2.0 deixou o alojamento por especificar. Não se afirma que a produção atual processa Customer Data na Railway sem confirmação operacional | Dados tratados: Potencialmente qualquer dado tratado pela aplicação em runtime (sessões, Dados do Cliente em trânsito, logs de aplicação). Conteúdo concreto dos logs de infraestrutura: [REQUIRES CONTRACTUAL VERIFICATION] | Finalidade: Executar a aplicação SaaS | Titulares: Utilizadores do Cliente, se a produção estiver neste ambiente | Localização de tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Localização de alojamento: [LOCALIZAÇÃO DE ALOJAMENTO — A CONFIRMAR] (RAILWAY_REPLICA_REGION opcional no health check — não é confirmação de região de dados nem de residência) | Transferência internacional: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | Mecanismo de transferência: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | DPA: [DPA DO PRESTADOR — A CONFIRMAR] | Cadeia de subprocessadores: [CADEIA DE SUBPROCESSADORES DO PRESTADOR — A CONFIRMAR] | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Treino / uso de Dados do Cliente: Não aplicável como treino de modelo | Salvaguardas: [SALVAGUARDAS CONFIRMADAS DO PRESTADOR — A CONFIRMAR] | Estado contratual: [ESTADO CONTRATUAL — A CONFIRMAR] | Divulgação pública: Sim, quando a produção estiver confirmada neste prestador. Até lá: divulgação como candidato identificado no código, não como facto DPA verificado
• Prestador: Google (Firebase App Hosting) — candidato de alojamento | Entidade legal: [ENTIDADE LEGAL — A CONFIRMAR] | Serviço: Alojamento da aplicação Next.js se a produção usar Firebase App Hosting. Evidência no repo: apphosting.yaml (runConfig.maxInstances: 1). Não confirma que a produção corre neste backend | Papel: candidate_unconfirmed — Candidato paralelo à Railway. Não se afirma qual o host efectivo de produção. Não publicar como subprocessador confirmado sem evidência operacional | Dados tratados: Potencialmente qualquer dado tratado pela aplicação em runtime, se a produção estiver neste ambiente | Finalidade: Executar a aplicação SaaS, se seleccionado | Titulares: Utilizadores do Cliente, se a produção estiver neste ambiente | Localização de tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Localização de alojamento: [LOCALIZAÇÃO DE ALOJAMENTO — A CONFIRMAR] — não derivado de RAILWAY_REPLICA_REGION nem de apphosting.yaml | Transferência internacional: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | Mecanismo de transferência: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | DPA: [DPA DO PRESTADOR — A CONFIRMAR] | Cadeia de subprocessadores: [CADEIA DE SUBPROCESSADORES DO PRESTADOR — A CONFIRMAR] | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Treino / uso de Dados do Cliente: Não aplicável como treino de modelo | Salvaguardas: [SALVAGUARDAS CONFIRMADAS DO PRESTADOR — A CONFIRMAR] | Estado contratual: [ESTADO CONTRATUAL — A CONFIRMAR] | Divulgação pública: Sim, quando a produção estiver confirmada neste prestador. Até lá: candidato interno, não facto DPA verificado
• Prestador: SMTP / email transacional | Entidade legal: [ENTIDADE LEGAL — A CONFIRMAR] | Serviço: Envio de email transacional (Nodemailer). Prestador concreto = SMTP_HOST da configuração. Não especificado neste quadro (não se inventa um operador SMTP) | Papel: candidate_unconfirmed — Quando configurado e se tratar dados pessoais, o prestador SMTP é subprocessador. Identidade: [NÃO ESPECIFICADO — depende de SMTP_HOST] | Dados tratados: Conteúdo e destinatários de emails transacionais (p. ex. faturação, reposição de palavra-passe, outbox), quando o SMTP está configurado | Finalidade: Entrega de email transacional | Titulares: Destinatários dos emails (utilizadores / contactos do Cliente) | Localização de tratamento: [PAÍS / REGIÃO — A CONFIRMAR] | Localização de alojamento: [LOCALIZAÇÃO DE ALOJAMENTO — A CONFIRMAR] | Transferência internacional: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | Mecanismo de transferência: [MECANISMO DE TRANSFERÊNCIA — A CONFIRMAR] | DPA: [DPA DO PRESTADOR — A CONFIRMAR] | Cadeia de subprocessadores: [CADEIA DE SUBPROCESSADORES DO PRESTADOR — A CONFIRMAR] | Conservação: [PERÍODO DE RETENÇÃO — A CONFIRMAR] | Treino / uso de Dados do Cliente: Não aplicável como treino de modelo | Salvaguardas: [SALVAGUARDAS CONFIRMADAS DO PRESTADOR — A CONFIRMAR] | Estado contratual: [ESTADO CONTRATUAL — A CONFIRMAR] | Divulgação pública: Sim, quando o prestador SMTP estiver identificado

Prestadores de análise de audiências, APM de terceiros e desks de suporte de terceiros não foram identificados e não constam como subprocessadores. Stripe não é tratado como subprocessador de dados de força de trabalho do Cliente.

Termos de Tratamento de Dados da Firebase · Subprocessadores da Firebase · Política de Privacidade da Stripe · Política de Privacidade da Cloudinary · Gemini API Additional Terms (públicos)

Anexo C — Quadro de conservação (Data Retention Schedule)

Os prazos abaixo são um quadro. Nenhum prazo concreto é inventado.

• Dados de conta da plataforma (responsável Floworks): [PERÍODO DE RETENÇÃO — A CONFIRMAR]
• Customer Data / dados de força de trabalho (subcontratante): duração do serviço + offboarding (Anexo D); [PERÍODO DE RETENÇÃO — A CONFIRMAR]
• Documentos e anexos de colaboradores: segundo o Cliente e a duração do serviço; [PERÍODO DE RETENÇÃO — A CONFIRMAR]
• Registos de auditoria da plataforma: [PERÍODO DE RETENÇÃO — A CONFIRMAR]
• Registos de segurança e owner_access_logs: pelo tempo necessário à segurança e defesa de direitos; [PERÍODO DE RETENÇÃO — A CONFIRMAR]
• Dados de suporte: [PERÍODO DE RETENÇÃO — A CONFIRMAR]
• Registos relacionados com IA (prompts/respostas persistidos, se existirem): [EXISTÊNCIA E PRAZO — A CONFIRMAR]; não foi identificado um arquivo dedicado de prompts
• Dados de faturação (responsável Floworks): obrigações fiscais/comerciais; [PERÍODO DE RETENÇÃO — A CONFIRMAR]
• Cópias de segurança: ciclo técnico da infraestrutura / subprocessadores; [PERÍODO DE RETENÇÃO — A CONFIRMAR]
• Dados marcados para eliminação: até conclusão do ciclo de backup e exceções legais / legal holds

Anexo D — Encerramento de conta e offboarding

Procedimento operacional após cessação ou pedido de encerramento:

• Encerramento da conta: desativação do acesso na data de cessação ou na data acordada
• Período de exportação: [PRAZO DE EXPORTAÇÃO — PROPOSTA: 30 DIAS — A CONFIRMAR] (Anexo E)
• Eliminação de produção: eliminação ou anonimização dos Dados do Cliente sob controlo da Floworks nos sistemas de produção; prazo [PRAZO DE OFFBOARDING DE PRODUÇÃO — A CONFIRMAR]
• Documentos e anexos: inclusão no procedimento de produção, na medida das capacidades e dos identificadores disponíveis; objetos Cloudinary legados podem exigir inventário; este DPA não promete apagamento automático de todos os objetos históricos
• Backups: expiram segundo o ciclo técnico; [PERÍODO DE RETENÇÃO DE BACKUPS — A CONFIRMAR]
• Logs: podem subsistir segundo o Anexo C
• Exceções: obrigação legal, litígio, legal hold, faturação, segurança e prevenção de abuso
• Confirmação: a pedido razoável, confirmação operacional de que o procedimento de produção foi iniciado ou concluído — não é certificação forense de todos os subprocessadores

Anexo E — Exportação e portabilidade

O Cliente pode solicitar exportação dos dados disponíveis. Não existe portal de autoatendimento de DSAR. Capacidade atual da plataforma:

• Dados disponíveis: dados operacionais da conta do Cliente que a plataforma consiga exportar no momento do pedido (utilizadores, registos históricos das coleções suportadas, configurações, na medida implementada)
• Documentos e anexos: exportação dos ficheiros ou dos identificadores disponíveis, na medida das capacidades; o acesso corrente é via APIs autenticadas da Floworks, não via URL Cloudinary devolvido ao browser
• Formatos: [FORMATOS DE EXPORTAÇÃO — A CONFIRMAR] (proposta operacional: formatos estruturados de uso corrente, p. ex. JSON/CSV, quando existirem)
• Limitações: dados já eliminados, dados apenas em backups, dados de outros clientes, dados de subprocessadores fora do controlo operacional imediato, e conteúdo que o Cliente não tenha introduzido
• Pedido: administrador autorizado, via ${LEGAL_SUPPORT_EMAIL} ou processo de suporte, com identificação da empresa
• Prazo: [PRAZO DE EXPORTAÇÃO — PROPOSTA: 30 DIAS — A CONFIRMAR], salvo complexidade razoável
• Segurança: entrega por canal autenticado ao administrador; sem publicação de URL assinados em texto claro nestes documentos

Anexo F — Quadro de inventário interno (compatível com RoPA)

Este anexo é um quadro para o registo de atividades de tratamento da Floworks. Não substitui o RoPA interno completo, que deve ser mantido operacionalmente. Campos a preencher por atividade: identificação do tratamento; papel (responsável ou subcontratante); finalidade; categorias de titulares; categorias de dados; destinatários/subprocessadores; transferências; prazos de conservação; medidas de segurança. [RoPA INTERNO OPERACIONAL — A CONFIRMAR / A MANTER FORA DESTE DPA PÚBLICO NA MEDIDA CONFIDENCIAL]

Anexo G — Quadro de fluxos de dados (mapa)

Fluxos descritos apenas com base na arquitetura confirmada do produto. Localização e mecanismo de transferência: [A CONFIRMAR] em cada etapa de prestador.

• Browser autenticado → aplicação Floworks: dados de sessão e conteúdos introduzidos; finalidade: prestar o serviço; destinatário: Floworks; papel: subcontratante (força de trabalho) ou responsável (conta/faturação da Floworks)
• Aplicação Floworks → Cloud Firestore: dados operacionais; finalidade: persistência; destinatário: Google (Firestore); papel: subprocessador
• Aplicação Floworks → Cloudinary: ficheiros de colaboradores (entrega autenticada para novos objetos) e media pública de perfil/logótipo/inventário; finalidade: armazenamento/entrega; destinatário: Cloudinary; papel: subprocessador
• Aplicação Floworks → FCM: avisos push genéricos; finalidade: notificar; destinatário: Google (FCM); papel: subprocessador
• Aplicação Floworks → Gemini/Genkit (quando IA utilizada): contexto de staffing (nomes, IDs, pontuações, ordenações) ou texto livre noutros fluxos; finalidade: recomendações assistivas; destinatário: Google; papel: subprocessador
• Aplicação Floworks → SMTP (quando configurado): email transacional; destinatário: [PRESTADOR SMTP — NÃO ESPECIFICADO]; papel: subprocessador se tratar dados pessoais
• Registos / owner_access_logs / auditoria: metadados de segurança e suporte; finalidade: segurança e defesa de direitos; destinatário: Floworks e infraestrutura subjacente
• Cópias de segurança: réplicas técnicas da infraestrutura e dos subprocessadores; finalidade: resiliência; [LOCALIZAÇÃO E PRAZO — A CONFIRMAR]

Este mapa não inventa um prestador de alojamento. O browser não recebe o URL assinado da Cloudinary como URL de acesso; o acesso a ficheiros protegidos faz-se por APIs same-origin da Floworks.

Política de alteração de subprocessadores

Uma alteração material é a adição ou substituição de um subprocessador que trate dados de força de trabalho do Cliente (ou dados equivalentes de Customer Data). Não é alteração material, por si só: atualização de documentação pública do mesmo prestador; Stripe quanto a faturação da Floworks; prestadores not_relevant.

• A Floworks atualiza o Anexo B e notifica o Cliente por meio razoável (email do administrador, aviso na aplicação e/ou Centro de Conformidade)
• O prazo de oposição proposto é [PRAZO DE OBJEÇÃO — PROPOSTA: 15 DIAS CORRIDOS — A CONFIRMAR], contado da notificação ou da publicação, o que ocorrer em último lugar
• A oposição deve assentar em motivos razoáveis de proteção de dados (garantias insuficientes do artigo 28.º, transferência sem mecanismo adequado, ou risco específico não mitigável)
• As partes procuram de boa-fé uma medida alternativa (incluindo a não utilização da funcionalidade afetada, se tecnicamente possível)
• Se não houver alternativa razoável, o Cliente pode cessar a funcionalidade afetada ou, se a alteração for essencial ao serviço no seu conjunto, cessar o serviço afetado, sem prejuízo de quantias devidas
• A ausência de oposição no prazo constitui autorização para essa alteração, na medida permitida pelo artigo 28.º
• Urgência de segurança: a Floworks pode substituir um subprocessador para conter um incidente, notificando tão pronto quanto razoavelmente possível e abrindo o prazo de oposição a partir dessa notificação

Mecanismo de notificação ao Cliente

A notificação de alteração material de subprocessador é um ato de governação do DPA, distinto da alteração dos Termos.

• Canal: email do administrador da conta e/ou aviso na aplicação e publicação no Centro de Conformidade / Anexo B
• Conteúdo mínimo: prestador, serviço, papel, categorias de dados, finalidade, localização conhecida ou [A CONFIRMAR], e o prazo de oposição
• Início da contagem: o último de entre a publicação e o envio da notificação. Pré-aviso geral de alterações dos Termos: [PRÉ-AVISO DE ALTERAÇÃO — PROPOSTA: 30 DIAS — A CONFIRMAR] (proposta; não se aplica automaticamente a este procedimento)
• Registo interno: data, canal, versão do Anexo B, e oposições recebidas — [PROCEDIMENTO OPERACIONAL — A CONFIRMAR]

Procedimento de oposição

O Cliente envia a oposição para [email protected] ou para o contacto de privacidade, identificando a empresa, o subprocessador e os motivos de proteção de dados.

• A Floworks acusa a receção e avalia a oposição de boa-fé
• Medidas possíveis: manter o prestador anterior; isolar a funcionalidade; aplicar controlos suplementares; ou recusar se a oposição não for fundada em proteção de dados
• Se a oposição for fundada e não existir alternativa razoável, o Cliente pode cessar a funcionalidade ou o serviço afetado
• Este procedimento não concede um direito de veto comercial sobre preços ou roadmap, salvo na medida do artigo 28.º

Declaração sobre treino de modelos — A / B / C / D

A frase «A Floworks não utiliza Dados do Cliente para treinar os seus próprios modelos de IA» descreve apenas a prática da Floworks. Não é uma garantia sobre a Google nem sobre qualquer outro fornecedor.

• A. Prática da Floworks: a Floworks não treina modelos de inteligência artificial próprios com Dados do Cliente. Não foi identificado um modelo proprietário Floworks. A licença dos Dados do Cliente não autoriza esse treino
• B. Tratamento por fornecedor terceiro: as funcionalidades de IA recorrem à Gemini API da Google (Genkit, modelo googleai/gemini-2.5-flash e fallbacks). Nos termos públicos da Gemini API, o regime de dados difere entre Unpaid Services (a Google pode usar conteúdos para melhorar produtos e ML; revisores humanos podem anotar) e Paid Services (a Google declara não usar prompts/respostas para melhorar produtos e processá-los ao abrigo do DPA em que a Google é processadora). A Floworks não verificou se a chave/projeto Cloud em produção é Paid Service. [REQUIRES CONTRACTUAL VERIFICATION]
• C. Proteções contratuais ao Cliente: DPA (instruções, subprocessadores, assistência); Termos (titularidade dos Dados do Cliente; licença limitada; resultados assistivos; o Cliente decide). Estas proteções não substituem a verificação do contrato Google
• D. Limitações: a Floworks não publica uma garantia de ausência de treino pelo fornecedor Google. Mesmo nos termos públicos Paid Services, a Google regista prompts/respostas por período limitado para segurança/abuso e pode armazená-los transitoriamente em qualquer país onde mantenha instalações. Utilizadores da API Client no EEE, Suíça ou Reino Unido devem, segundo esses termos, usar apenas Paid Services — cumprimento pela Floworks: [REQUIRES CONTRACTUAL VERIFICATION]

Fontes públicas consultadas para enquadrar B e D, sem as tratar como contrato assinado da Floworks: Gemini API Additional Terms (eficazes 23 de março de 2026). URL: https://ai.google.dev/gemini-api/terms

Gemini API Additional Terms

Anexo H — Ciclo de vida, conservação e encerramento

Este anexo não promete comportamentos técnicos não implementados. O cancelamento da empresa na consola do proprietário é uma transição de estado, sem eliminação automática. Não existe portal de exportação do Cliente nem wipe completo automatizado.

• Conservação: ver calendário interno; prazos de produto implementados (p. ex. location_audit 365 dias) não substituem o [PERÍODO DE RETENÇÃO — A CONFIRMAR] das restantes categorias
• Backups de infraestrutura: [FREQUÊNCIA DE BACKUP DE INFRAESTRUTURA — A CONFIRMAR] / [PERÍODO DE RETENÇÃO DE BACKUPS — A CONFIRMAR]
• Legal hold: sem flag de produto
• Notificação de violações: sem demora indevida após conhecimento confirmado; prazos internos de IR não são SLA deste DPA

Anexo I — Transferências internacionais (redação pública)

Este anexo não afirma que os Dados do Cliente permanecem no EEE, nem que existem cláusulas contratuais-tipo, decisão de adequação, TIA concluída ou medidas suplementares verificadas relativamente a um prestador concreto.

Prestadores confirmados na aplicação: Google (Firebase Authentication, Cloud Firestore, Firebase Cloud Messaging; Gemini API quando a IA é usada), Cloudinary e Stripe (faturação; papel misto). O alojamento da aplicação e o operador SMTP são candidatos identificados na configuração e não são factos DPA verificados.

A sede societária de um prestador não determina o país de tratamento. Qualquer transferência sujeita ao Capítulo V do RGPD só será descrita como amparada por adequação, CCT ou medidas suplementares depois de [CONTRACTUAL VERIFICATION REQUIRED]. Até lá, o mecanismo permanece [TO BE CONFIRMED] e deve ler-se na documentação oficial vigente do prestador.

22A. Interação de responsabilidade com os Termos

A responsabilidade decorrente deste DPA, incluindo incumprimento do artigo 28.º na medida contratual, sujeita-se à cláusula de limitação dos Termos vigentes, salvo quando uma norma imperativa de proteção de dados o impeça. Este DPA não cria uma indemnização ilimitada nem um teto pecuniário autónomo em euros. O teto de doze meses de fees e os placeholders comerciais dos Termos aplicam-se, na medida permitida. Fraude, dolo e responsabilidades legalmente inlimitableis permanecem fora da limitação, na medida da lei.