Acordo de Tratamento de Dados

1. Partes, Objeto e Âmbito de Aplicação

1.1. Partes contratantes

Responsável pelo Tratamento (Cliente): a pessoa singular ou coletiva que contrata serviços à WebDig Host e determina as finalidades e os meios do tratamento de dados pessoais associados aos serviços contratados, na medida em que a WebDig Host trate esses dados por sua conta.

Encarregado de Proteção de Dados

A WebDig Host dispõe de um Encarregado de Proteção de Dados formalmente designado.

• Encarregado de Proteção de Dados: João Manuel da Silva Costa.
• Contacto: Departamento de Proteção de Dados.
• Funções: informar e aconselhar sobre obrigações de proteção de dados, acompanhar a conformidade, prestar aconselhamento sobre avaliações de impacto, quando solicitado, e cooperar com a autoridade de controlo, nos termos dos artigos 38.º e 39.º do RGPD.

Compliance e Segurança Digital

As questões relacionadas com incidentes de segurança, medidas técnicas e comunicação de situações de risco podem ser encaminhadas para o Departamento de Segurança.

Este canal apoia a gestão e resposta a incidentes, a coordenação das medidas de segurança aplicáveis e a colaboração nas comunicações legalmente exigidas, conforme as responsabilidades concretamente atribuídas à WebDig Host.

1.2. Objeto do acordo

O presente acordo regula o tratamento de dados pessoais efetuado pela WebDig Host em nome e por conta do cliente, no contexto dos serviços contratados, incluindo, quando aplicável:

• Serviços de alojamento web, WordPress e WooCommerce;
• Alojamento de email, DNS, bases de dados, cópias de segurança e monitorização;
• Operações de tratamento realizadas por conta do cliente no âmbito de serviços de domínios;
• Suporte técnico, migração de conteúdos, otimização de desempenho e segurança;
• Outros serviços em que a WebDig Host trate dados pessoais por conta do cliente.

O acordo aplica-se exclusivamente às operações em que a WebDig Host atua como subcontratante, nos termos do artigo 28.º do RGPD.

A qualificação jurídica de cada operação depende das finalidades e dos meios efetivamente determinados pelas partes. Em determinadas operações de registo e gestão de domínios, a WebDig Host e outras entidades intervenientes poderão atuar como responsáveis autónomos pelo tratamento.

O tratamento de dados pessoais efetuado pela WebDig Host enquanto responsável pelo tratamento, nomeadamente para faturação, gestão de contas de cliente e comunicações comerciais, encontra-se regulado pela Política de Privacidade.

2. Definições

Para efeitos do presente acordo, e sem prejuízo das definições constantes do RGPD, aplicam-se as seguintes:

• Dados Pessoais: informação relativa a uma pessoa singular identificada ou identificável, nos termos do artigo 4.º, n.º 1, do RGPD.
• Tratamento: qualquer operação ou conjunto de operações efetuadas sobre dados pessoais, por meios automatizados ou não, nos termos do artigo 4.º, n.º 2, do RGPD.
• Responsável pelo Tratamento: entidade que determina as finalidades e os meios do tratamento, nos termos do artigo 4.º, n.º 7, do RGPD.
• Subcontratante: entidade que trata dados pessoais por conta do responsável pelo tratamento, nos termos do artigo 4.º, n.º 8, do RGPD.
• Subprocessador: subcontratante adicional contratado pela WebDig Host para tratar dados pessoais por conta do cliente.
• Violação de Dados Pessoais: violação de segurança que provoque, de modo acidental ou ilícito, a destruição, perda, alteração, divulgação não autorizada ou acesso não autorizado a dados pessoais.
• Avaliação de Impacto sobre a Proteção de Dados (DPIA): avaliação prevista no artigo 35.º do RGPD.
• Legislação de Proteção de Dados: o RGPD, a Lei n.º 58/2019, a Lei n.º 41/2004, quando aplicável, e demais normas europeias e nacionais relevantes.
• NIS2: Diretiva (UE) 2022/2555, transposta para a ordem jurídica portuguesa pelo Decreto-Lei n.º 125/2025, de 4 de dezembro, sem prejuízo da verificação da sua aplicabilidade concreta à entidade e aos serviços.

3. Duração do Tratamento

O presente Acordo de Tratamento de Dados vigora durante o período de prestação dos serviços contratados, incluindo períodos de instalação, migração, testes, suspensão técnica ou renovação, e mantém-se aplicável às operações de tratamento ainda necessárias à devolução ou eliminação dos dados pessoais, nos termos da cláusula 17.

As obrigações que, pela sua natureza ou por imposição legal, devam subsistir após a cessação dos serviços, incluindo confidencialidade, responsabilidade e cooperação com autoridades competentes, permanecem em vigor pelo período legalmente aplicável.

4. Tipos de Dados e Categorias de Titulares

O tratamento de dados pessoais depende da natureza dos serviços contratados e das decisões do cliente quanto à sua utilização.

4.1. Tipos de dados pessoais

• Dados de identificação, incluindo nome, apelido, cargo e nome de utilizador;
• Dados de contacto, incluindo email, telefone, morada e endereço IP;
• Dados de autenticação, credenciais, tokens e registos de acesso;
• Dados de faturação e pagamento integrados em sistemas alojados pelo cliente;
• Conteúdos de websites e aplicações, bases de dados, formulários, newsletters e contas de utilizador;
• Registos técnicos, logs de servidor, erros, segurança, email e metadados associados;
• Outros dados pessoais que o cliente decida alojar, processar ou transmitir através dos serviços contratados.

4.2. Categorias de titulares

• Clientes e utilizadores finais do responsável pelo tratamento;
• Colaboradores, prestadores de serviços, parceiros ou representantes do cliente;
• Utilizadores registados nos sistemas e aplicações alojados;
• Visitantes dos websites e aplicações geridos pelo cliente.

O cliente deve avaliar previamente os riscos e assegurar as bases legais e garantias necessárias quando pretenda tratar categorias especiais de dados pessoais ou dados relativos a condenações penais e infrações, observando os artigos 9.º e 10.º do RGPD.

Sempre que a natureza do tratamento ou os riscos envolvidos o justifiquem, o cliente deverá contactar previamente a WebDig Host para avaliar a necessidade de medidas técnicas ou contratuais adicionais.

5. Natureza e Finalidades do Tratamento

A WebDig Host realiza, por conta do cliente e na medida necessária à prestação dos serviços contratados, operações de tratamento que podem incluir receção, armazenamento, organização, transmissão, disponibilização, consulta técnica, recuperação, cópia, restrição de acesso e eliminação de dados pessoais.

Estas operações podem ter as seguintes finalidades:

• Alojamento e disponibilização de websites, aplicações e serviços online;
• Funcionamento de serviços de email e DNS;
• Armazenamento e gestão de bases de dados;
• Realização de cópias de segurança e recuperação de informação;
• Monitorização da disponibilidade, desempenho e segurança;
• Suporte técnico, migrações, resolução de incidentes e manutenção;
• Cumprimento de obrigações legais aplicáveis.

A WebDig Host não utilizará dados pessoais tratados por conta do cliente para finalidades próprias de marketing, criação de perfis comerciais ou outras finalidades incompatíveis com as instruções documentadas recebidas, salvo quando exista fundamento jurídico próprio e a WebDig Host atue legitimamente noutra qualidade.

6. Instruções do Responsável pelo Tratamento

A WebDig Host tratará os dados pessoais apenas de acordo com as instruções documentadas do cliente, incluindo no que respeita a transferências internacionais, salvo quando o tratamento seja exigido pelo direito da União Europeia ou pelo direito português.

Quando exista uma obrigação legal de tratamento independente das instruções do cliente, a WebDig Host informará previamente o cliente, exceto quando a lei proíba essa comunicação por motivos importantes de interesse público.

As instruções podem constar do contrato, de pedidos de suporte, ordens de trabalho, mensagens de email, área de cliente ou outra documentação escrita.

Caso a WebDig Host considere que uma instrução viola o RGPD ou outra legislação de proteção de dados aplicável, informará imediatamente o cliente dessa situação.

7. Obrigações da WebDig Host enquanto Subcontratante

A WebDig Host compromete-se a:

1. Tratar dados pessoais apenas segundo instruções documentadas do cliente, salvo obrigação legal em contrário;
2. Garantir que as pessoas autorizadas a tratar dados pessoais estão vinculadas a deveres de confidencialidade;
3. Implementar medidas técnicas e organizativas adequadas ao risco, nos termos do artigo 32.º do RGPD;
4. Assistir o cliente, tendo em conta a natureza do tratamento e a informação disponível, no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD;
5. Manter os registos de atividades de tratamento exigidos pelo artigo 30.º, n.º 2, do RGPD, quando aplicável;
6. Assegurar as garantias legalmente exigidas para transferências internacionais de dados;
7. Comunicar ao cliente, sem atrasos injustificados, as violações de dados pessoais de que tome conhecimento;
8. Disponibilizar informação necessária à demonstração de conformidade e permitir auditorias nos termos do artigo 28.º do RGPD;
9. Eliminar ou devolver os dados pessoais após a cessação dos serviços, de acordo com a escolha do cliente e as obrigações legais aplicáveis.

8. Confidencialidade e Formação

A WebDig Host assegura que as pessoas autorizadas a tratar dados pessoais por conta dos clientes:

• Estão sujeitas a deveres de confidencialidade contratuais ou legais;
• Recebem orientação ou formação adequada às respetivas funções em matéria de proteção de dados e segurança da informação;
• Acedem aos dados apenas na medida necessária ao desempenho das suas funções, segundo o princípio do mínimo privilégio.

O dever de confidencialidade mantém-se após a cessação da relação contratual ou profissional, nos termos legalmente aplicáveis.

9. Medidas Técnicas e Organizativas de Segurança

Tendo em conta o estado da técnica, os custos de implementação, a natureza, o âmbito, o contexto e as finalidades do tratamento, bem como os riscos para os direitos e liberdades das pessoas singulares, a WebDig Host implementa medidas técnicas e organizativas adequadas ao risco.

Estas medidas podem incluir, conforme a natureza dos serviços e a respetiva configuração:

• Proteção de comunicações através de HTTPS/TLS e outros mecanismos de encriptação adequados;
• Controlo de acessos, autenticação e registo de atividades relevantes;
• Isolamento de contas e ambientes de alojamento;
• Firewalls e mecanismos de deteção, prevenção e mitigação de ameaças;
• Filtragem de mensagens indesejadas e mecanismos de proteção dos serviços de email;
• Cópias de segurança, quando incluídas no serviço contratado, segundo as condições e políticas aplicáveis;
• Monitorização técnica e procedimentos de resposta a incidentes;
• Revisão das medidas de segurança de acordo com os riscos identificados.

A aplicação concreta de cada medida depende do serviço contratado, da infraestrutura utilizada e das respetivas condições técnicas.

A segurança constitui uma responsabilidade partilhada. O cliente mantém a responsabilidade pela gestão das aplicações, conteúdos, credenciais, permissões e atualizações que estejam sob o seu controlo.

Para informações complementares, consulta a Política de Segurança da Informação e as Boas Práticas de Segurança.

10. Subcontratantes (Subprocessadores)

O cliente concede à WebDig Host uma autorização geral para recorrer a subprocessadores necessários à prestação dos serviços contratados, nos termos do artigo 28.º, n.os 2 e 4, do RGPD.

A lista dos subprocessadores encontra-se disponível na página Lista de Subprocessadores, que integra o presente acordo por remissão.

A WebDig Host assegura que os subprocessadores que tratem dados pessoais por conta dos clientes ficam vinculados por obrigações contratuais de proteção de dados adequadas e equivalentes às exigidas pelo artigo 28.º do RGPD.

Durante esse período, o cliente poderá apresentar uma oposição fundamentada através do canal de Proteção de Dados.

As partes procurarão, de boa-fé, uma solução adequada para eventuais objeções. Quando não seja possível assegurar a prestação do serviço sem recorrer ao subprocessador em causa, serão aplicáveis as condições contratuais e as disposições legais pertinentes.

A WebDig Host manterá a lista pública de subprocessadores atualizada.

11. Transferências Internacionais de Dados

Quando a prestação dos serviços envolva transferências de dados pessoais para fora do Espaço Económico Europeu, a WebDig Host assegurará a existência de um fundamento válido nos termos do Capítulo V do RGPD.

Consoante a situação, poderão ser utilizados:

• Decisões de adequação da Comissão Europeia, nos termos do artigo 45.º do RGPD;
• Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia, acompanhadas de medidas suplementares quando necessárias;
• Mecanismos de certificação ou enquadramentos de adequação reconhecidos pela União Europeia, quando aplicáveis;
• Outros mecanismos de transferência legalmente previstos.

A pedido do cliente, a WebDig Host disponibilizará informação pertinente sobre as garantias aplicáveis às transferências internacionais relacionadas com os serviços contratados.

12. Assistência ao Responsável pelo Tratamento

Tendo em conta a natureza do tratamento e a informação de que dispõe, a WebDig Host prestará assistência razoável e proporcional ao cliente no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD, incluindo:

• Implementação e manutenção das medidas de segurança que lhe competem;
• Disponibilização de informação relevante para a avaliação e notificação de violações de dados pessoais;
• Apoio técnico relacionado com avaliações de impacto sobre a proteção de dados;
• Cooperação na preparação de consultas prévias à CNPD, quando legalmente exigidas.

A assistência que implique trabalhos técnicos ou jurídicos extraordinários poderá ser objeto de orçamentação específica, nos termos contratualmente aplicáveis e sem prejuízo das obrigações legais da WebDig Host.

13. Apoio no Exercício dos Direitos dos Titulares

Quando a WebDig Host receba pedidos de titulares de dados relacionados com tratamentos efetuados por conta de um cliente, encaminhará esses pedidos ao responsável pelo tratamento, sempre que possível e legalmente adequado.

A WebDig Host não decidirá autonomamente sobre esses pedidos enquanto atuar exclusivamente como subcontratante, salvo quando exista obrigação legal em contrário.

A WebDig Host prestará assistência técnica adequada ao cliente para permitir o exercício dos direitos previstos no RGPD, incluindo:

• Direito de acesso – artigo 15.º;
• Direito de retificação – artigo 16.º;
• Direito ao apagamento – artigo 17.º;
• Direito à limitação do tratamento – artigo 18.º;
• Direito à portabilidade – artigo 20.º;
• Direito de oposição – artigo 21.º;
• Direitos relativos a decisões individuais automatizadas – artigo 22.º.

14. Notificação de Violações de Dados e Incidentes de Segurança

Caso a WebDig Host tome conhecimento de uma violação de dados pessoais tratados por conta do cliente, notificá-lo-á sem atrasos injustificados, nos termos do artigo 33.º, n.º 2, do RGPD.

A comunicação será dirigida ao contacto do cliente disponível na relação contratual, utilizando os canais adequados à natureza e urgência do incidente.

Na medida em que a informação esteja disponível, a notificação incluirá:

• Descrição da natureza da violação de dados pessoais;
• Categorias e número aproximado de titulares afetados, quando conhecidos;
• Categorias e número aproximado de registos afetados, quando conhecidos;
• Consequências prováveis da violação;
• Medidas adotadas ou propostas para resolver o incidente e reduzir os seus efeitos;
• Contacto para obtenção de informações adicionais.

Quando não seja possível fornecer toda a informação simultaneamente, a comunicação poderá ser efetuada por fases, sem atrasos injustificados.

Compete ao cliente, enquanto responsável pelo tratamento, avaliar a necessidade de notificação à Comissão Nacional de Proteção de Dados (CNPD), nos termos do artigo 33.º do RGPD, e de comunicação aos titulares afetados, nos termos do artigo 34.º.

O prazo de 72 horas previsto no artigo 33.º do RGPD aplica-se à notificação à autoridade de controlo pelo responsável pelo tratamento, quando legalmente exigida, e não substitui a obrigação da WebDig Host de comunicar ao cliente sem atrasos injustificados.

As partes cooperarão na investigação, contenção e resolução dos incidentes, sem prejuízo das obrigações legais próprias de cada uma.

Consulta também os Procedimentos de Incidentes.

15. Auditorias, Inspeções e Prova de Conformidade

A WebDig Host disponibilizará ao cliente a informação necessária para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD.

A WebDig Host permitirá e contribuirá para auditorias, incluindo inspeções, realizadas pelo cliente ou por auditor por este mandatado, nos termos legalmente exigidos.

As auditorias serão organizadas de forma a proteger a segurança da infraestrutura, a confidencialidade dos restantes clientes e a continuidade dos serviços.

Sempre que adequado, as partes acordarão previamente o âmbito, o calendário e as condições práticas da auditoria, sem prejuízo dos direitos legalmente conferidos ao responsável pelo tratamento.

Os custos extraordinários associados a auditorias poderão ser regulados contratualmente, desde que tal não impeça ou restrinja indevidamente o exercício dos direitos previstos no RGPD.

16. Registos de Atividades e Transparência

A WebDig Host manterá os registos das atividades de tratamento realizadas por conta dos clientes, nos termos do artigo 30.º, n.º 2, do RGPD, quando legalmente exigidos.

Esses registos poderão incluir:

• Identificação das categorias de tratamentos efetuados;
• Identificação dos responsáveis pelo tratamento e subprocessadores relevantes;
• Informação sobre transferências internacionais de dados;
• Descrição geral das medidas técnicas e organizativas de segurança;
• Outras informações legalmente exigidas.

Quando aplicável, a WebDig Host poderá disponibilizar informações ou relatórios de transparência relacionados com as obrigações previstas no Regulamento (UE) 2022/2065 (Digital Services Act), respeitando a confidencialidade e a proteção dos dados pessoais.

17. Devolução e Eliminação de Dados após a Cessação

Após a cessação dos serviços que envolvam o tratamento de dados pessoais por conta do cliente, a WebDig Host procederá, conforme a escolha documentada do cliente, à devolução ou eliminação dos dados pessoais tratados por sua conta, salvo quando uma disposição legal imponha a respetiva conservação.

Para esse efeito:

• A WebDig Host disponibilizará os mecanismos de exportação, migração ou recuperação previstos no serviço contratado, sem prejuízo das obrigações legais aplicáveis;
• Os dados pessoais serão devolvidos ou eliminados de acordo com a escolha documentada do cliente e com as condições técnicas e legais aplicáveis;
• As cópias existentes serão eliminadas, salvo obrigação legal de conservação;
• Quando a eliminação imediata de dados incluídos em cópias de segurança não seja tecnicamente possível, esses dados permanecerão protegidos, com acesso restrito, até à sua eliminação segundo os ciclos técnicos de retenção aplicáveis, sem utilização para finalidades incompatíveis com o presente acordo;
• Quando tecnicamente possível e legalmente admissível, determinados registos associados a incidentes poderão ser disponibilizados ao cliente mediante pedido fundamentado.

Os procedimentos de eliminação terão em consideração a natureza dos suportes e os mecanismos técnicos utilizados.

O presente acordo não estabelece um prazo uniforme de retenção de backups, uma vez que esse prazo depende das condições do serviço contratado e das políticas técnicas aplicáveis.

18. Responsabilidade, Indemnizações e Limitação de Responsabilidade

Cada parte é responsável pelo cumprimento das obrigações que lhe sejam legalmente atribuídas enquanto responsável pelo tratamento ou subcontratante.

A responsabilidade por danos decorrentes de tratamentos de dados pessoais que violem o RGPD será determinada de acordo com o artigo 82.º do RGPD e demais disposições legais aplicáveis.

A WebDig Host não assume as responsabilidades próprias do cliente relativamente à determinação das finalidades do tratamento, à escolha das bases de licitude ou à gestão de aplicações e conteúdos que estejam exclusivamente sob o controlo do cliente.

Esta distribuição de responsabilidades não prejudica as obrigações legais da WebDig Host nem afasta a responsabilidade que lhe seja imputável nos termos da legislação aplicável.

Eventuais limites de responsabilidade previstos nos Termos e Condições gerais apenas serão aplicáveis na medida permitida por lei e não prejudicam os direitos dos titulares dos dados, o regime de responsabilidade e indemnização previsto no artigo 82.º do RGPD ou outras disposições legais imperativas.

19. Direito Aplicável, Foro e Hierarquia de Documentos

O presente Acordo de Tratamento de Dados é regido pelo direito português e pelo direito da União Europeia aplicável, nomeadamente pelo RGPD.

Para a resolução de litígios emergentes da interpretação ou execução do presente acordo, aplicam-se as regras legais de competência jurisdicional e territorial, sem prejuízo das normas imperativas aplicáveis, incluindo as relativas à proteção dos consumidores e dos titulares de dados.

Mantêm-se igualmente as competências legalmente atribuídas à Comissão Nacional de Proteção de Dados e a outras autoridades competentes.

Em caso de conflito entre o presente acordo e a Política de Privacidade da WebDig Host, prevalecem as disposições deste acordo relativamente ao tratamento de dados pessoais efetuado por conta do cliente.

Em caso de conflito com os Termos e Condições gerais, prevalecem as disposições imperativas do RGPD e da legislação de proteção de dados aplicável.

20. Disposições Finais e Atualizações

A WebDig Host poderá atualizar o presente Acordo de Tratamento de Dados para refletir alterações legislativas, orientações de autoridades competentes, modificações dos serviços ou alterações relevantes nas medidas técnicas e organizativas aplicáveis.

As alterações substanciais serão comunicadas aos clientes com antecedência razoável, através dos meios contratualmente previstos.

As alterações contratuais serão aplicadas segundo os mecanismos de comunicação e aceitação legalmente válidos, sem prejuízo das obrigações imperativas do RGPD.

O procedimento específico de notificação de alterações aos subprocessadores encontra-se definido na cláusula 10 do presente acordo, incluindo a antecedência mínima de 30 dias e a comunicação por email.

Os direitos do cliente perante alterações contratuais serão exercidos nos termos da legislação e das condições de serviço aplicáveis.