ordo

Contrato de subcontratação

Artigo 28.º do RGPD · Última atualização: 27 de julho de 2026.

Este documento faz parte dos termos de serviço e vale como o contrato escrito que o artigo 28.º do RGPD exige. Não precisas de nos pedir uma versão assinada: se a tua organização precisar de assinatura, escreve para ola@ordo.com.pt e assinamos o mesmo texto.

1. As partes e os papéis

O ateliê que usa o Ordo é o responsável pelo tratamento: decide que dados introduz e para que fins.

João Mota, NIF 214876012, é o subcontratante: trata esses dados por conta do ateliê, apenas para prestar o serviço, e nunca para finalidades próprias.

Os dados da conta de quem usa a aplicação (nome, email, palavra-passe) estão fora deste contrato: aí somos responsáveis pelo tratamento, e as condições estão na política de privacidade.

2. Objeto, duração e natureza do tratamento

O tratamento consiste em guardar, organizar, consultar e apagar dados pessoais, com a finalidade de prestar o serviço de gestão de projetos, horas, rentabilidade e proformas. Dura enquanto durar o contrato de serviço.

Categorias de titulares

• Clientes do ateliê (pessoas singulares, ou pessoas de contacto de pessoas coletivas).
• Pessoas que trabalham no ateliê, nos dados que o ateliê introduz sobre elas.

Categorias de dados

• Identificação e contacto: nome, NIF, morada, email, telefone.
• Dados de projeto: horas lançadas por pessoa e por fase, notas, despesas.
• Dados económicos: honorários, custo/hora, valor/hora, valores faturados.

Não há categorias especiais de dados (saúde, convicções, biometria). O Ordo não tem campos para isso e pedimos que não os introduzas em campos de texto livre.

3. As nossas obrigações

• Tratar apenas por instrução. O que fazemos com os dados é o que a aplicação faz quando a usas. Se alguma vez uma lei nos obrigar a mais, avisamos-te antes, salvo se a própria lei o proibir.
• Confidencialidade. Quem tem acesso técnico aos dados está obrigado a sigilo. O acesso a dados de um ateliê acontece só quando é indispensável para resolver um problema, e a pedido ou com conhecimento do ateliê.
• Segurança (artigo 32.º). Cifragem em trânsito, palavras-passe com hash, segundo fator opcional, isolamento entre ateliês imposto na camada de dados, cópias de segurança diárias cifradas com restauro testado, e registo dos acessos.
• Violações de dados. Comunicamos-te sem demora injustificada depois de tomarmos conhecimento, com o que soubermos: o que aconteceu, que dados, que consequências prováveis e o que estamos a fazer. A notificação à CNPD, quando devida, é obrigação do ateliê enquanto responsável — e damos-te o que precisares para a fazer.
• Pedidos dos titulares. Se um cliente teu nos pedir acesso, correção ou eliminação diretamente, remetemo-lo para ti e informamos-te. As ferramentas para responderes estão na aplicação: exportação em CSV e eliminação.
• Apoio. Ajudamos-te, na medida do razoável, em avaliações de impacto e em consultas às autoridades, na parte que diz respeito ao Ordo.

4. Subcontratantes ulteriores

Autorizas os seguintes subcontratantes:

Cada um está vinculado a obrigações de proteção de dados equivalentes às nossas. Nenhum destes dados sai da União Europeia — nem os dos teus projetos e clientes, nem os endereços de email, nem os dados de faturação.

Os dados do cartão nunca passam pelo Ordo: são introduzidos diretamente no processador de pagamentos, que é também quem os guarda.

Se acrescentarmos ou trocarmos um subcontratante, avisamos por email com pelo menos 30 dias de antecedência. Se não concordares, podes rescindir sem penalização até à data da mudança.

5. Fim do contrato

Quando o contrato acaba, apagamos os dados pessoais tratados por tua conta. Antes disso tens 30 dias para os exportar — e podes apagar tudo imediatamente, quando quiseres, em Definições.

As cópias de segurança cifradas retêm os dados por mais 14 dias, até à rotação normal. Não são acessíveis para uso, servem só para restauro em caso de avaria.

6. Auditoria

Damos-te a informação necessária para demonstrares o cumprimento deste contrato. Somos uma estrutura pequena: não temos certificações formais (ISO 27001, SOC 2) e não vale a pena prometer o que não temos. Em vez disso, respondemos por escrito a questionários de segurança e descrevemos as medidas com o detalhe que precisares.