Anexo B — Acordo de Tratamento de Dados (DPA)

Última atualização: 4 de agosto de 2026

1. Enquadramento e partes

1.1. O presente Acordo de Tratamento de Dados (doravante "Acordo" ou "DPA", do inglês Data Processing Agreement) constitui o contrato exigido pelo artigo 28.º, n.º 3, do Regulamento (UE) 2016/679 (doravante "RGPD") e regula o tratamento de dados pessoais efetuado pelo Simplifica por conta do Centro.

1.2. São partes no presente Acordo:

• a) o Centro, na qualidade de Responsável pelo Tratamento;

• b) Ricardo Santos, que opera sob o nome comercial Simplifica, na qualidade de Subcontratante. 1.3. O presente Acordo constitui o Anexo B dos Termos de Serviço, deles fazendo parte integrante, e é aceite pelo Centro no momento da aceitação daqueles.

1.4. Os termos definidos nos Termos de Serviço têm, no presente Acordo, o mesmo significado. 1.5. O presente Acordo aplica-se exclusivamente aos dados pessoais tratados pelo Simplifica por conta do Centro. Não se aplica aos dados relativamente aos quais o Simplifica atua como Responsável pelo Tratamento, identificados na Política de Privacidade, cujo tratamento se rege por aquele documento.

1.6. Em caso de contradição entre o presente Acordo e os Termos de Serviço em matéria de tratamento de dados pessoais, prevalece o presente Acordo.

2. Objeto, natureza e duração do tratamento

2.1. O objeto do tratamento é a prestação do Serviço, nos termos dos Termos de Serviço e do plano subscrito.

2.2. A natureza e as finalidades do tratamento, as categorias de dados pessoais e as categorias de titulares constam do Apêndice 1.

2.3. O tratamento tem a duração da subscrição do Centro, acrescida do período de conservação previsto na secção 11.

3. Instruções do Responsável pelo Tratamento

3.1. O Simplifica trata os dados pessoais exclusivamente com base em instruções documentadas do Centro, salvo se obrigado a fazê-lo pelo direito da União ou do Estado-Membro a que esteja sujeito, caso em que informa previamente o Centro desse requisito jurídico, salvo se tal for proibido por razões de interesse público.

3.2. Constituem instruções documentadas do Centro, para efeitos do ponto 3.1:

• a) os Termos de Serviço e o presente Acordo;

• b) a utilização das funcionalidades da Plataforma pelo Centro e pelos seus Utilizadores, no âmbito da configuração e dos parâmetros por si definidos;

• c) as instruções adicionais transmitidas por escrito pelo Centro, aceites pelo Simplifica.

3.3. O Simplifica informa imediatamente o Centro se considerar que uma instrução viola o RGPD ou outra disposição de proteção de dados, podendo suspender a execução dessa instrução até à sua clarificação.

3.4. As instruções adicionais que excedam o âmbito das funcionalidades da Plataforma e impliquem esforço técnico significativo podem ser objeto de acordo prévio quanto a custos e prazos.

4. Obrigações do Centro

4.1. O Centro garante que:

• a) dispõe de base legal adequada para o tratamento dos dados pessoais que introduz ou faz introduzir na Plataforma, incluindo, quando exigido, o consentimento dos titulares ou dos seus representantes legais no caso de menores;

• b) prestou aos titulares dos dados a informação exigida pelos artigos 13.º e 14.º do RGPD, incluindo quanto ao recurso ao Simplifica enquanto subcontratante;

• c) as instruções que transmite ao Simplifica são conformes com a legislação aplicável;

• d) os dados introduzidos são adequados, pertinentes e limitados ao necessário relativamente às finalidades prosseguidas.

4.2. A Plataforma não se destina à introdução de categorias especiais de dados pessoais na aceção do artigo 9.º do RGPD, designadamente dados relativos à saúde. Caso o Centro pretenda tratar tais dados através da Plataforma, deve assegurar previamente a existência de fundamento

específico nos termos daquele artigo.

5. Confidencialidade

5.1. O Simplifica assegura que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade.

5.2. O acesso aos dados pessoais é limitado às pessoas cuja intervenção seja necessária à prestação do Serviço, ao cumprimento de obrigações legais ou à execução do presente Acordo. 5.3. A obrigação de confidencialidade subsiste após a cessação do presente Acordo.

6. Segurança do tratamento

6.1. O Simplifica aplica as medidas técnicas e organizativas descritas no Apêndice 2, adequadas ao risco, nos termos do artigo 32.º do RGPD.

6.2. O Simplifica pode atualizar as medidas previstas no Apêndice 2, desde que o nível de segurança não seja reduzido.

6.3. O Centro é responsável pela configuração dos perfis e permissões dos seus Utilizadores e pela gestão do ciclo de vida dos respetivos acessos.

7. Subcontratantes ulteriores

7.1. O Centro concede ao Simplifica autorização geral para recorrer a subcontratantes ulteriores, nos termos do artigo 28.º, n.º 2, do RGPD.

7.2. A lista dos subcontratantes ulteriores em vigor consta do Apêndice 3 e da Política de Privacidade.

7.3. O Simplifica comunica ao Centro, com uma antecedência mínima de 30 dias, a substituição ou a adição de subcontratantes ulteriores.

7.4. O Centro pode opor-se, por escrito e de forma fundamentada, no prazo de 15 dias a contar da comunicação. Na ausência de oposição nesse prazo, a alteração considera-se aceite.

7.5. Em caso de oposição fundamentada, as partes procuram, de boa-fé, uma solução alternativa. Não sendo esta possível, o Centro pode cancelar a subscrição sem penalização, com reembolso proporcional dos valores pagos e não utilizados.

7.6. O Simplifica celebra com cada subcontratante ulterior um contrato que impõe obrigações de proteção de dados equivalentes às previstas no presente Acordo, e responde perante o Centro pelo cumprimento das obrigações desses subcontratantes.

7.7. Os Prestadores Integrados contratados diretamente pelo Centro não constituem subcontratantes ulteriores do Simplifica, atuando por conta e sob a responsabilidade do Centro.

8. Transferências internacionais

8.1. O Simplifica não transfere dados pessoais para fora do Espaço Económico Europeu sem que estejam asseguradas as garantias adequadas previstas no Capítulo V do RGPD.

8.2. As transferências identificadas no Apêndice 3 realizam-se ao abrigo da decisão de adequação relativa ao EU-US Data Privacy Framework, quando o subcontratante ulterior nele se encontre certificado, ou ao abrigo das Cláusulas Contratuais-Tipo adotadas pela Comissão Europeia.

8.3. O Simplifica informa o Centro caso deixe de estar em condições de assegurar as garantias referidas, permitindo-lhe suspender a transferência ou cancelar a subscrição.

9. Assistência ao Responsável pelo Tratamento

9.1. Direitos dos titulares. O Simplifica auxilia o Centro, tendo em conta a natureza do tratamento e através de medidas técnicas e organizativas adequadas, no cumprimento da sua obrigação de dar resposta aos pedidos de exercício de direitos previstos nos artigos 15.º a 22.º do RGPD, designadamente disponibilizando na Plataforma funcionalidades de consulta, correção, exportação e eliminação de dados.

9.2. Caso o Simplifica receba diretamente um pedido de um titular relativo a dados tratados por conta do Centro, encaminha-o para este sem demora injustificada e não lhe dá resposta direta, salvo instrução expressa do Centro.

9.3. Violações de dados pessoais. O Simplifica notifica o Centro sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas após ter tomado conhecimento de uma violação de dados pessoais, prestando-lhe a informação disponível quanto a:

• a) a natureza da violação, incluindo, quando possível, as categorias e o número aproximado de titulares e de registos afetados;

• b) as consequências prováveis da violação;

• c) as medidas adotadas ou propostas para lhe pôr termo ou mitigar os seus efeitos;

• d) o ponto de contacto para obtenção de informação adicional.

9.4. Compete ao Centro, enquanto Responsável pelo Tratamento, notificar a autoridade de controlo competente nos termos do artigo 33.º do RGPD e, quando aplicável, os titulares dos dados nos termos do artigo 34.º.

9.5. Avaliações de impacto. O Simplifica auxilia o Centro, mediante pedido e tendo em conta a informação ao seu dispor, na realização de avaliações de impacto sobre a proteção de dados e em eventuais consultas prévias à autoridade de controlo, nos termos dos artigos 35.º e 36.º do RGPD.

9.6. A assistência prevista nos pontos 9.1 e 9.5, quando exceda a utilização das funcionalidades da Plataforma e implique esforço técnico significativo, pode ser objeto de acordo prévio quanto a custos.

10. Demonstração de conformidade e auditorias

10.1. O Simplifica disponibiliza ao Centro, mediante pedido, a informação necessária para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD, designadamente através de um relatório descritivo das medidas técnicas e organizativas aplicadas.

10.2. O Centro pode realizar uma auditoria por cada período de 12 meses, mediante pedido escrito com uma antecedência mínima de 30 dias, em dia útil e em horário laboral, de modo a não perturbar o normal funcionamento do Serviço.

10.3. As auditorias limitam-se à verificação do cumprimento do presente Acordo, não podendo abranger informação relativa a outros Centros, informação confidencial de terceiros ou elementos cuja divulgação comprometa a segurança da Plataforma.

10.4. Os custos da auditoria são suportados pelo Centro, salvo se dela resultar a verificação de incumprimento material imputável ao Simplifica.

10.5. Auditorias adicionais podem ser realizadas quando exigidas por decisão fundamentada de autoridade de controlo ou na sequência de uma violação de dados pessoais que afete o Centro.

11. Cessação, devolução e eliminação

11.1. Após a cessação da subscrição, o Simplifica conserva os dados pessoais tratados por conta do Centro durante 90 dias, período durante o qual o Centro pode solicitar a sua exportação em formato estruturado, de uso corrente e de leitura automática.

11.2. Findo o prazo previsto no ponto 11.1, o Simplifica elimina ou anonimiza os dados pessoais, salvo obrigação legal de conservação, informando o Centro mediante pedido.

11.3. Os dados eliminados podem subsistir nas cópias de segurança até 30 dias após a respetiva criação, findos os quais são igualmente eliminados. Durante esse período, os dados não são acessíveis para utilização corrente, sendo utilizados exclusivamente para efeitos de recuperação em caso de incidente.

11.4. O Centro pode solicitar, a todo o tempo, a eliminação antecipada de dados específicos através das funcionalidades da Plataforma ou mediante pedido dirigido ao Simplifica.

12. Vigência

12.1. O presente Acordo vigora enquanto o Simplifica tratar dados pessoais por conta do Centro. 12.2. As disposições que, pela sua natureza, se destinem a subsistir após a cessação, designadamente as secções 5 e 11, mantêm-se em vigor.

12.3. O Simplifica pode atualizar o presente Acordo nos termos previstos na secção 18 dos Termos de Serviço, aplicando-se às alterações relativas a subcontratantes ulteriores o regime específico da secção 7.

Apêndice 1 — Descrição do tratamento

Objeto: prestação do Serviço de gestão de centros de explicações através da Plataforma Simplifica.

Duração: vigência da subscrição, acrescida do período de conservação previsto na secção 11. Natureza do tratamento: recolha, registo, organização, estruturação, conservação, consulta, utilização, transmissão, apagamento e destruição, por meios automatizados.

Finalidades: gestão de alunos, encarregados de educação, professores e coordenadores; gestão de turmas, salas e horários; registo de presenças e assiduidade; acompanhamento pedagógico; gestão administrativa e financeira; comunicação com Utilizadores; e demais finalidades determinadas pelo Centro no âmbito das funcionalidades da Plataforma.

Categorias de titulares dos dados:

• Coordenadores do Centro
• Professores e demais colaboradores do Centro
• Alunos, incluindo menores de idade
• Encarregados de educação e representantes legais

Categorias de dados pessoais:

Categorias especiais de dados: não previstas. A Plataforma não se destina ao tratamento de dados abrangidos pelo artigo 9.º do RGPD.

Apêndice 2 — Medidas técnicas e organizativas

1. Controlo de acesso

• Autenticação através de códigos de acesso de utilização única, com validade limitada
• Controlo de acessos baseado em perfis e permissões
• Segregação lógica dos dados de cada Centro
• Registo dos acessos a dados pessoais de alunos
• Limitação do acesso administrativo ao pessoal estritamente necessário

2. Cifragem

• Cifragem das comunicações em trânsito (TLS)
• Cifragem dos dados em repouso na base de dados e no armazenamento de ficheiros

3. Integridade e disponibilidade

• Cópias de segurança periódicas com retenção de 30 dias
• Monitorização da disponibilidade e registo de erros
• Procedimentos de recuperação em caso de incidente

4. Medidas organizativas

• Compromissos de confidencialidade das pessoas com acesso aos dados
• Contratos nos termos do artigo 28.º do RGPD com todos os subcontratantes ulteriores
• Procedimento interno de deteção, registo e notificação de violações de dados pessoais
• Revisão periódica das medidas de segurança

5. Minimização e limitação da conservação

• Recolha limitada aos dados necessários às finalidades do Serviço
• Prazos de conservação definidos e eliminação automatizada findos esses prazos

Apêndice 3 — Subcontratantes ulteriores

Notas:

• Os prestadores de serviços de pagamento e de faturação certificada, quando contratados diretamente pelo Centro, constituem Prestadores Integrados e não subcontratantes ulteriores do Simplifica, nos termos do ponto 7.7.
• Os serviços de análise de tráfego utilizados no Website não tratam dados pessoais por conta do Centro, não sendo por isso subcontratantes ulteriores para efeitos do presente Acordo.