Acordo de Processamento de Dados (DPA)

Última atualização: 10 de setembro de 2026

Este documento aplica-se à relação entre a Veritio (Subcontratante/Processor) e cada seguradora Cliente (Responsável pelo Tratamento/Controller), nos termos do artigo 28.º do RGPD, relativamente aos dados pessoais dos segurados e terceiros contidos nos dossiers de sinistros. Deve ser assinado/aceite como anexo ao Contrato de Subscrição.

1. Definições

• "Dados Pessoais": qualquer informação relativa a pessoa singular identificada ou identificável, incluída nos dossiers de sinistros processados através da Plataforma.
• "Responsável" / "Controller": a seguradora Cliente, que determina as finalidades e os meios do tratamento dos Dados Pessoais dos segurados.
• "Subcontratante" / "Processor": a Veritio, que trata Dados Pessoais em nome e por instrução documentada do Responsável.
• "Subsubcontratante": qualquer terceiro autorizado pela Veritio a tratar Dados Pessoais no âmbito da prestação do Serviço (por exemplo, fornecedores de infraestrutura cloud, fornecedores de modelos de IA).

2. Objeto e duração

2.1. Este DPA regula o tratamento de Dados Pessoais efetuado pela Veritio por conta do Responsável, no âmbito da prestação do Serviço Veritio.ia, nos termos do Contrato de Subscrição.

2.2. A duração deste DPA coincide com a duração do Contrato de Subscrição, mantendo-se em vigor as obrigações de confidencialidade e apagamento/devolução de dados após a sua cessação, nos termos da cláusula 10.

3. Natureza, finalidade e categorias de dados

3.1. Natureza do tratamento: extração, estruturação, análise (incluindo por sistemas de IA), armazenamento e apresentação de dados de dossiers de sinistros, para efeitos de apoio à decisão do gestor de sinistros.

3.2. Finalidade: exclusivamente a prestação do Serviço nos termos do Contrato de Subscrição e das instruções documentadas do Responsável.

3.3. Categorias de titulares de dados: segurados, beneficiários, terceiros lesados, peritos, e outros intervenientes identificados nos documentos de sinistro.

3.4. Categorias de dados pessoais: dados de identificação e contacto, dados da apólice, dados patrimoniais/financeiros relativos ao sinistro, imagens/fotografias, e, quando aplicável ao ramo do sinistro, categorias especiais de dados nos termos do art. 9.º RGPD (por exemplo, dados de saúde em sinistros de acidentes pessoais).

4. Instruções do Responsável

4.1. A Veritio trata os Dados Pessoais exclusivamente de acordo com as instruções documentadas do Responsável, incluindo as constantes deste DPA e do Contrato de Subscrição, salvo obrigação legal em contrário (caso em que informará o Responsável dessa obrigação, exceto se a lei o proibir por razões de interesse público importante).

4.2. Se a Veritio considerar que uma instrução viola o RGPD ou outra legislação de proteção de dados aplicável, informará imediatamente o Responsável.

5. Confidencialidade

A Veritio assegura que todas as pessoas autorizadas a tratar os Dados Pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a dever de confidencialidade legal apropriado.

6. Segurança (art. 32.º RGPD)

A Veritio implementa medidas técnicas e organizativas adequadas ao risco, incluindo, nomeadamente:

• Cifragem de dados em trânsito e em repouso;
• Controlo de acessos baseado em funções e princípio do menor privilégio;
• Isolamento lógico total entre os dados de diferentes seguradoras Clientes;
• Registo de auditoria (logging) imutável de acessos e decisões;
• Testes regulares de segurança e avaliação da eficácia das medidas implementadas;
• Capacidade de restabelecer a disponibilidade e o acesso aos Dados Pessoais em tempo útil em caso de incidente.

[Anexar Anexo Técnico com descrição detalhada das medidas de segurança, se aplicável.]

7. Subsubcontratação

7.1. O Responsável autoriza, de forma geral, a Veritio a recorrer a Subsubcontratantes para a prestação do Serviço, mediante lista atualizada disponibilizada ao Responsável. Subsubcontratantes atuais: Vercel Inc. (alojamento e infraestrutura), Supabase Inc. (base de dados e armazenamento), Resend (envio de email transacional), Anthropic e OpenAI (modelos de Inteligência Artificial). Esta lista é mantida atualizada na Política de Privacidade, secção 7.

7.2. A Veritio informará o Responsável de qualquer alteração prevista relativa à adição ou substituição de Subsubcontratantes, dando ao Responsável a oportunidade de se opor por motivos razoáveis relacionados com a proteção de dados, num prazo de [15/30] dias.

7.3. A Veritio impõe a cada Subsubcontratante, por via contratual, as mesmas obrigações de proteção de dados constantes deste DPA, mantendo-se integralmente responsável perante o Responsável pelo cumprimento dessas obrigações pelo Subsubcontratante.

8. Assistência ao Responsável

8.1. A Veritio assiste o Responsável, na medida do possível e tendo em conta a natureza do tratamento, no cumprimento da obrigação de resposta a pedidos de exercício de direitos dos titulares de dados (acesso, retificação, apagamento, oposição, portabilidade, limitação, direito a não ficar sujeito a decisão exclusivamente automatizada).

8.2. A Veritio assiste o Responsável no cumprimento das obrigações relativas a: segurança do tratamento (art. 32.º), notificação de violações de dados (arts. 33.º-34.º), avaliação de impacto sobre a proteção de dados (AIPD/DPIA, art. 35.º), e consulta prévia à autoridade de controlo (art. 36.º), quando aplicável.

8.3. Considerando que o Serviço envolve sistemas de IA utilizados em contexto de decisão sobre sinistros de seguros, a Veritio assiste ainda o Responsável no cumprimento das obrigações aplicáveis ao abrigo do AI Act (Regulamento (UE) 2024/1689), nomeadamente quanto à documentação técnica, transparência, explicabilidade das recomendações e supervisão humana.

9. Violações de dados pessoais (Data Breaches)

9.1. A Veritio notifica o Responsável sem demora injustificada e, em qualquer caso, no prazo máximo de [24/48/72] horas após ter conhecimento de uma violação de dados pessoais que afete os Dados Pessoais tratados ao abrigo deste DPA.

9.2. A notificação incluirá, na medida do possível: natureza da violação, categorias e número aproximado de titulares e registos afetados, consequências prováveis, e medidas adotadas ou propostas para mitigar os efeitos.

9.3. Cabe ao Responsável, enquanto Responsável pelo Tratamento, avaliar a necessidade de notificação à autoridade de controlo competente (nos termos do art. 33.º RGPD) e, quando aplicável, aos titulares de dados (art. 34.º RGPD); a Veritio prestará toda a colaboração necessária.

10. Apagamento ou devolução de dados

10.1. Após a cessação do Contrato de Subscrição, a Veritio, à escolha do Responsável, apaga ou devolve todos os Dados Pessoais tratados, e apaga as cópias existentes, salvo se a legislação da UE ou de um Estado-Membro exigir a sua conservação (por exemplo, obrigações regulatórias do setor segurador).

10.2. O prazo para esta devolução/apagamento é de [30/60] dias após o termo do Contrato, salvo acordo em contrário.

11. Auditorias

11.1. A Veritio disponibiliza ao Responsável toda a informação necessária para demonstrar o cumprimento das obrigações previstas neste DPA e permite e contribui para auditorias, incluindo inspeções, realizadas pelo Responsável ou por auditor por si mandatado, mediante aviso prévio razoável ([ex: 30 dias]) e no máximo [uma vez por ano], salvo em caso de incidente de segurança.

11.2. A Veritio pode disponibilizar relatórios de auditoria de terceiros independentes (por exemplo, SOC 2, ISO 27001, quando aplicável) em substituição de auditorias diretas, sempre que estes cubram adequadamente o âmbito relevante.

12. Transferências internacionais

Qualquer transferência de Dados Pessoais para fora do EEE no âmbito deste DPA será efetuada com base em mecanismo válido nos termos do Capítulo V do RGPD (decisão de adequação, Cláusulas Contratuais-Tipo, ou outro mecanismo equivalente), conforme detalhado na Política de Privacidade e na lista de Subsubcontratantes.

13. Responsabilidade

A responsabilidade de cada parte pelo incumprimento das obrigações de proteção de dados rege-se pelo disposto no RGPD (art. 82.º) e pelo Contrato de Subscrição.

14. Lei aplicável

Este DPA rege-se pela mesma lei aplicável ao Contrato de Subscrição, sem prejuízo da aplicação direta do RGPD.

Assinado/aceite eletronicamente no âmbito da aceitação do Contrato de Subscrição.