Acordo de Tratamento de Dados (DPA) — Obrametria

Versão 1.0 · 7 de agosto de 2026 Nos termos do artigo 28.º, n.º 3, do Regulamento (UE) 2016/679 (RGPD)

Entre:

Responsável pelo Tratamento A empresa que subscreve a Obrametria, identificada pelo nome, NIF e sede que inscreveu no registo da conta e nos dados da empresa dentro da plataforma, doravante designada "Responsável" ou "Cliente";

e

Subcontratante Licínia Alves Simões, empresária em nome individual, contribuinte fiscal n.º 257 925 309, com domicílio profissional em Portugal — morada completa facultada por escrito a pedido, através de privacidade@obrametria.pt, e inscrita neste Acordo no exemplar assinado com cada Cliente —, titular da marca e plataforma "Obrametria", contactável para efeitos de proteção de dados através de privacidade@obrametria.pt, doravante designada "Subcontratante" ou "Obrametria";

doravante conjuntamente designadas "Partes".

Considerandos

1. O Responsável contratou à Subcontratante a utilização da plataforma Obrametria, um software de orçamentação de obra ("Serviço"), nos termos do contrato de prestação de serviços ou dos Termos de Serviço aceites no momento do registo ("Contrato Principal").
2. A prestação do Serviço implica que a Subcontratante trate, por conta do Responsável, dados pessoais de que o Responsável é titular ou responsável — nomeadamente dados de clientes finais do Responsável (donos de obra, que podem ser pessoas singulares), de colaboradores do Responsável com acesso à plataforma, e outros dados descritos no Anexo I.
3. O artigo 28.º do RGPD exige que esta relação seja regulada por contrato ou outro ato jurídico vinculativo. Este documento cumpre essa exigência e aplica-se automaticamente a todos os clientes da Obrametria, complementando o Contrato Principal.
4. Qualificação das partes: para efeitos deste Acordo e do RGPD, o Responsável é o responsável pelo tratamento (define finalidades e meios de uso dos dados dos seus próprios clientes/obras) e a Obrametria é a subcontratante (trata os dados apenas para prestar o Serviço, segundo as instruções do Responsável). A Obrametria, por sua vez, recorre a sub-subcontratantes (Anexo II) para alojar a infraestrutura.

Cláusula 1.ª — Objeto e âmbito

Este Acordo regula o tratamento de dados pessoais efetuado pela Obrametria, enquanto subcontratante, por conta do Responsável, no âmbito da prestação do Serviço. Aplica-se a todos os dados pessoais inseridos, gerados ou processados na plataforma Obrametria em nome do Responsável, incluindo — sem limitar — os descritos no Anexo I.

Cláusula 2.ª — Duração

Este Acordo vigora enquanto durar o Contrato Principal e mantém-se em vigor, para efeitos das obrigações de confidencialidade e das obrigações pós-contratuais (Cláusula 8.ª), mesmo após a cessação daquele.

Cláusula 3.ª — Natureza, finalidade e duração do tratamento; tipos de dados e categorias de titulares

[Art. 28.º/3, corpo do número — objeto e duração do tratamento, natureza e finalidade, tipo de dados pessoais e categorias de titulares]

Objeto e natureza do tratamento: alojamento, processamento e disponibilização de dados inseridos pelo Responsável na plataforma Obrametria, para permitir a criação, gestão e emissão de orçamentos de obra, contratos, adendas e autos de medição.

Finalidade: exclusivamente a prestação do Serviço contratado — não incluí qualquer outra finalidade (ex.: marketing próprio da Obrametria a partir destes dados, cedência a terceiros para fins comerciais, ou treino de modelos de IA com dados de clientes finais).

Duração do tratamento: enquanto o Contrato Principal estiver em vigor, e durante o período necessário ao cumprimento de obrigações legais de conservação (ex.: fiscais) após a cessação, nos termos da Cláusula 8.ª.

Tipos de dados pessoais e categorias de titulares: ver Anexo I. Em síntese:

• Dados de identificação e contacto do próprio Responsável (dados fiscais da empresa e do seu representante legal).
• Dados de identificação e contacto de clientes finais do Responsável (donos de obra) — podendo estes ser pessoas singulares quando o dono de obra é um particular.
• Dados de conta dos utilizadores/colaboradores do Responsável que acedem à plataforma (email, autenticação).
• Não são tratadas categorias especiais de dados (Art. 9.º RGPD) — ver confirmação no Anexo I.

Cláusula 4.ª — Instruções documentadas

[Art. 28.º/3/a]

1. A Obrametria só trata os dados pessoais mediante instruções documentadas do Responsável, incluindo no que respeita a transferências para países terceiros ou organizações internacionais, salvo obrigação legal a que a Obrametria esteja sujeita — caso em que informará o Responsável dessa exigência antes do tratamento, salvo se a lei o proibir por razões de interesse público importante.
2. As instruções documentadas consideram-se dadas, em primeira linha, pela própria configuração e uso normal da plataforma pelo Responsável (introdução de dados de clientes, obras, orçamentos), pelos Termos de Serviço, e por este Acordo. Instruções adicionais podem ser dadas por escrito (email para o contacto indicado pela Obrametria).
3. A Obrametria informará imediatamente o Responsável se, na sua opinião, uma instrução violar o RGPD ou outras disposições de proteção de dados da União ou de um Estado-Membro.

Cláusula 5.ª — Confidencialidade

[Art. 28.º/3/b]

A Obrametria assegura que as pessoas autorizadas a tratar os dados pessoais (colaboradores, prestadores de serviço com acesso administrativo) assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada, e que o acesso aos dados é limitado ao estritamente necessário para as suas funções (princípio do menor privilégio), consistente com o isolamento técnico por conta descrito no MEDIDAS-SEGURANCA-TOM.md (Row Level Security por empresa).

Cláusula 6.ª — Medidas de segurança

[Art. 28.º/3/c, remetendo para o Art. 32.º]

A Obrametria implementa as medidas técnicas e organizativas adequadas ao risco, descritas em detalhe no documento MEDIDAS-SEGURANCA-TOM.md (parte integrante deste Acordo por remissão), que é atualizado sempre que as medidas mudarem. Esse documento distingue claramente as medidas já implementadas das medidas ainda por implementar — o Responsável deve consultá-lo para avaliar se o nível de segurança é adequado ao seu próprio tratamento antes de contratar ou renovar o Serviço.

Cláusula 7.ª — Recurso a sub-subcontratantes

[Art. 28.º/3/d e /4]

1. O Responsável autoriza genericamente a Obrametria a recorrer aos sub-subcontratantes listados no documento SUBPROCESSADORES.md (parte integrante deste Acordo por remissão) à data da assinatura/aceitação deste Acordo.
2. A Obrametria informará o Responsável de qualquer alteração pretendida (adição ou substituição de sub-subcontratantes), com uma antecedência mínima de 30 dias, salvo razões de segurança urgentes que justifiquem prazo menor, dando ao Responsável a oportunidade de se opor a essas alterações por escrito, dentro desse prazo.
3. Se o Responsável se opuser fundamentadamente e a Obrametria não conseguir acomodar a objeção sem comprometer a prestação do Serviço, qualquer das Partes pode resolver o Contrato Principal quanto à parte afetada, sem prejuízo de outras soluções acordadas entre as Partes.
4. A Obrametria impõe a cada sub-subcontratante, por via contratual, as mesmas obrigações de proteção de dados estabelecidas neste Acordo, na medida do adequado à natureza do tratamento que esse sub-subcontratante realiza. A Obrametria permanece totalmente responsável perante o Responsável pelo cumprimento das obrigações desses sub-subcontratantes.

Cláusula 8.ª — Assistência ao Responsável quanto aos direitos dos titulares

[Art. 28.º/3/e]

Tendo em conta a natureza do tratamento, a Obrametria assiste o Responsável, através de medidas técnicas e organizativas adequadas, na medida do possível, para o cumprimento da obrigação do Responsável de dar resposta aos pedidos de exercício dos direitos dos titulares dos dados previstos no Capítulo III do RGPD (acesso, retificação, apagamento, limitação, portabilidade, oposição).

Na prática, a Obrametria disponibiliza ao Responsável, através da própria plataforma, os meios para consultar, corrigir e apagar diretamente os dados de clientes e obras que estejam sob a sua gestão. Quando um pedido não puder ser satisfeito diretamente pela interface, o Responsável pode contactar a Obrametria em privacidade@obrametria.pt, que assistirá num prazo razoável, tendo em conta o prazo legal de 1 mês de que o Responsável dispõe para responder ao titular.

Cláusula 9.ª — Assistência quanto à segurança, notificação de violações, AIPD e consulta prévia

[Art. 28.º/3/f]

1. A Obrametria assiste o Responsável a garantir o cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD (segurança do tratamento, notificação de violações à autoridade de controlo e aos titulares, avaliação de impacto sobre a proteção de dados e consulta prévia), tendo em conta a natureza do tratamento e a informação de que a Obrametria dispõe.
2. Notificação de violações de dados: a Obrametria notifica o Responsável sem demora injustificada e, em todo o caso, no prazo máximo de 48 horas, após ter conhecimento de uma violação de dados pessoais que afete dados tratados ao abrigo deste Acordo — para permitir ao Responsável cumprir o seu próprio prazo de 72 horas perante a CNPD (Art. 33.º RGPD). A notificação inclui, na medida do possível: a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis, e as medidas adotadas ou propostas para reparar a violação e mitigar os seus efeitos.
3. A Obrametria mantém um plano escrito de resposta a incidentes (PLANO-RESPOSTA-INCIDENTES.md, em vigor desde 29/07/2026), que define a classificação de gravidade, os procedimentos de contenção, os prazos internos e o registo de incidentes exigido pelo artigo 33.º, n.º 5, do RGPD. O prazo de 48 horas do número anterior está aí operacionalizado, incluindo o modelo de comunicação ao Responsável.

Cláusula 10.ª — Apagamento ou devolução dos dados no final da prestação do serviço

[Art. 28.º/3/g]

1. No termo da prestação do Serviço (cessação do Contrato Principal), a Obrametria, mediante escolha do Responsável comunicada por escrito: a) apaga todos os dados pessoais tratados por conta do Responsável; ou b) devolve ao Responsável, num formato estruturado e de uso corrente (ex.: exportação JSON/CSV dos orçamentos, clientes e obras), todos os dados pessoais tratados por sua conta; e, em ambos os casos, apaga as cópias existentes, salvo na medida em que o direito da União ou de um Estado-Membro exija a conservação dos dados pessoais (ex.: obrigações fiscais de conservação de faturação).
2. Na ausência de instrução expressa do Responsável dentro de 30 dias após a cessação, a Obrametria procederá ao apagamento, salvo obrigação legal de conservação em contrário.
3. Exportação: ✅ implementada em self-service a 29/07/2026. O Responsável exporta, sozinho e quantas vezes quiser, a totalidade dos dados em Definições → Os teus dados: um ficheiro .zip com dados.json (completo, legível por máquina) e um CSV por tabela. Não depende de pedido nem de intervenção da Obrametria. O apagamento em massa a pedido continua a ser executado manualmente — é operação rara, irreversível e que deve mesmo passar por confirmação humana.

Cláusula 11.ª — Auditorias e disponibilização de informação

[Art. 28.º/3/h]

1. A Obrametria disponibiliza ao Responsável todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD, nomeadamente este Acordo, o documento MEDIDAS-SEGURANCA-TOM.md e o documento SUBPROCESSADORES.md.
2. A Obrametria permite e contribui para auditorias, incluindo inspeções, realizadas pelo Responsável ou por um auditor por si mandatado, mediante pedido com uma antecedência razoável (mínimo 30 dias), em horário útil, e sem prejuízo desproporcionado para a operação normal da Obrametria e para os restantes clientes (tratando-se de uma plataforma multi-tenant, a auditoria não pode implicar acesso a dados de outros clientes).
3. Face à escala atual da Obrametria (PME em fase de lançamento), as Partes podem acordar formas alternativas e proporcionais de demonstração de conformidade (ex.: questionário de segurança, partilha de relatórios de terceiros quando existirem) em vez de uma auditoria presencial completa, sem prejuízo do direito do Responsável a exigi-la nos termos da lei.

Cláusula 12.ª — Transferências internacionais

1. Os dados pessoais tratados pela Obrametria diretamente (base de dados, autenticação, armazenamento) ficam alojados na União Europeia (Supabase, região eu-west-1, Irlanda).
2. Alguns sub-subcontratantes ou a própria infraestrutura de rede (ver SUBPROCESSADORES.md) são entidades sediadas nos EUA, o que pode implicar transferência ou acesso a partir de fora do EEE. Essas transferências assentam nas Cláusulas Contratuais-Tipo (SCC) da Comissão Europeia e/ou na decisão de adequação do EU-US Data Privacy Framework, conforme aplicável a cada fornecedor, nos termos identificados em SUBPROCESSADORES.md.
3. A Obrametria compromete-se a manter o SUBPROCESSADORES.md atualizado quanto ao mecanismo de transferência aplicável a cada fornecedor.

Cláusula 13.ª — Responsabilidade

Cada Parte é responsável pelos danos causados pelo tratamento que efetue em violação do RGPD e deste Acordo, nos termos gerais do artigo 82.º do RGPD. Nada neste Acordo limita os direitos dos titulares dos dados de exercerem as suas prerrogativas diretamente contra qualquer das Partes, nos termos da lei.

Cláusula 14.ª — Lei aplicável e foro

Este Acordo rege-se pela lei portuguesa e pelo RGPD. Para a resolução de qualquer litígio emergente deste Acordo, as Partes elegem o foro da Comarca de Lisboa Oeste, com renúncia a qualquer outro.

Anexo I — Inventário de dados pessoais tratados

(Ver levantamento completo e metodologia no relatório de conformidade que acompanha este documento. Resumo:)

Não foram identificadas categorias especiais de dados (Art. 9.º RGPD) — não há campos de saúde, origem étnica, convicções, biometria, etc. em nenhuma tabela do schema. NIF e IBAN não são categorias especiais (são dados comuns, mas sensíveis do ponto de vista de segurança/fraude — tratados como tal nas TOM).

Nota sobre o campo notas em clientes: é um campo de texto livre — pode, na prática, acabar por conter dados pessoais adicionais introduzidos pelo Responsável (ex.: preferências do cliente, observações). A Obrametria não tem controlo sobre o conteúdo que o Responsável decide escrever aí; a responsabilidade por essa introdução é do Responsável enquanto responsável pelo tratamento.

Anexo II — Lista de subprocessadores

Ver documento SUBPROCESSADORES.md, atualizado à parte deste Acordo e nele incorporado por remissão.

Como este Acordo é celebrado

Este Acordo é aceite eletronicamente, no momento do registo da conta, em conjunto com os Termos de Serviço: quem se regista assinala expressamente que o leu e aceita, e a Obrametria guarda qual a versão aceite, por quem e em que data e hora. Vale como acordo escrito para efeitos do artigo 28.º, n.º 9, do RGPD, que admite a forma eletrónica.

O Responsável pode, a qualquer momento, pedir um exemplar assinado em papel ou com assinatura digital qualificada através de privacidade@obrametria.pt. Nesse exemplar, ambas as partes são identificadas pelos seus dados completos, incluindo moradas.