Subcontratantes ulteriores e transferências (Anexo III ao DPA)
Versão 1.0 — última atualização: 2026-10-10
Esta lista integra o Acordo de Subcontratação (DPA) celebrado entre cada negócio e a GD Projects, Lda.. Identifica os prestadores que tratam dados por conta do negócio na prestação da plataforma, a função de cada um, os dados envolvidos, os locais de tratamento e de acesso e o mecanismo de transferência aplicável. A versão em vigor na data da aceitação é conservada com a prova de aceitação.
1. Prestadores ativos
Os prestadores seguintes recebem dados na prestação atual da plataforma. Cada um trata os dados apenas para a função indicada, segundo o acordo de tratamento de dados que integra as condições do serviço contratado pela GD Projects, Lda..
| Entidade | Serviço e papel | Dados e finalidade | Locais de tratamento e acesso | Transferências fora do EEE |
|---|---|---|---|---|
| Google Cloud EMEA Limited (Irlanda), com Google LLC (Estados Unidos) e afiliadas como subcontratantes | Google Cloud e Firebase: autenticação, base de dados, ficheiros, tarefas agendadas e chaves de cifra. Subcontratante ulterior | Dados da conta e dos negócios guardados na plataforma, incluindo clientes, reservas, profissionais, notas e credenciais cifradas. Prestação e segurança do serviço | Base de dados na multirregião europeia eur3; ficheiros e chaves de cifra em europe-west1 (Bélgica); Firebase Authentication nos Estados Unidos; acesso de suporte do fornecedor a partir de outros países | Google LLC certificada no EU–US Data Privacy Framework; cláusulas contratuais-tipo dos termos de tratamento de dados da Google |
| Vercel Inc. (Estados Unidos) | Alojamento e execução da aplicação. Subcontratante ulterior | Pedidos e respostas da aplicação em trânsito e registos técnicos minimizados. Execução do serviço e segurança | Funções executadas em Frankfurt (Alemanha); rede global de distribuição; empresa e acesso de suporte nos Estados Unidos | Certificação no EU–US Data Privacy Framework declarada pela Vercel; cláusulas contratuais-tipo de 2021 incluídas no acordo de tratamento de dados da Vercel |
| Cloudflare, Inc. (Estados Unidos) | Turnstile (proteção contra abuso) e entradas técnicas de callbacks e de diagnóstico. Subcontratante; nos sinais do Turnstile atua também como responsável segundo o seu aviso próprio | Endereço IP e sinais técnicos do navegador nos formulários públicos; mensagens técnicas em trânsito, sem registo persistente configurado. Prevenção de abuso e encaminhamento seguro | Rede global da Cloudflare; empresa nos Estados Unidos | Cláusulas contratuais-tipo e demais mecanismos previstos no acordo de tratamento de dados da Cloudflare |
| Functional Software, Inc., com a designação Sentry (Estados Unidos) | Diagnóstico de erros e desempenho. Subcontratante ulterior | Eventos técnicos minimizados, sem contactos, corpo de pedidos ou cookies. Deteção e correção de falhas | Organização na região de dados da União Europeia (Alemanha); empresa e acesso de suporte nos Estados Unidos | Cláusulas contratuais-tipo e demais mecanismos previstos no acordo de tratamento de dados da Sentry |
| Stripe Payments Europe, Limited (Irlanda), com Stripe, Inc. (Estados Unidos) e afiliadas | Subscrições da plataforma e pagamentos online das reservas na conta Stripe do negócio. Responsável próprio nas obrigações financeiras e de prevenção de fraude; subcontratante nas funções em que o contrato Stripe o prevê | Dados do pagador, do pagamento e da faturação. Cobrança, reembolsos e cumprimento de obrigações legais | União Europeia e Estados Unidos, segundo a infraestrutura da Stripe | Stripe certificada no EU–US Data Privacy Framework; cláusulas contratuais-tipo do acordo de transferência de dados da Stripe |
2. Prestadores previstos, ainda sem receber dados
Os prestadores seguintes só recebem dados depois de concluídas as condições de ativação e de esta lista ser atualizada nos termos do DPA.
| Entidade | Função prevista | Estado |
|---|---|---|
| SEND IT — Software e Serviços para Telecomunicações, S. A. (Portugal), plataforma Arpoone | Envio de SMS e email transacionais, como códigos de verificação e avisos de reservas | Não ativo: nenhum dado dos negócios é enviado |
| Google, segundo a conta Google de cada utilizador | Google Calendar e Google Meet, por ligação voluntária de um profissional | Sem utilização geral; depende da ligação e dos termos da conta Google do utilizador |
3. Alterações e informação
Adições ou substituições seguem a secção de subcontratantes do DPA, com aviso escrito de pelo menos trinta dias e direito de oposição fundamentada. Os prestadores que a GD Projects, Lda. usa apenas na sua faturação e correspondência próprias, como Google Workspace, Kapta e Moloni, não tratam dados por conta dos negócios e constam do registo de tratamentos próprios.
Pode pedir cópia das garantias aplicáveis através de geral@tamarcado.pt.