Este Acordo aplica-se quando a VALTEVO, Unipessoal Lda (adPluga) trata dados pessoais por conta de um Cliente e quando a tag ou um SDK da adPluga recolhem dados nas propriedades de um Integrador. Faz parte dos Termos de Utilização e é aceite com eles; em caso de conflito sobre dados pessoais, prevalece este Acordo.
1. Papéis
A adPluga trata dados em três situações, e o papel muda conforme a situação:
- Subcontratante — quando trata dados por conta do Cliente: as audiências first-party que o Anunciante carrega e a entrega e medição das campanhas do próprio Cliente nas suas propriedades.
- Responsáveis conjuntos — na recolha de dados pela tag ou pelo SDK nas propriedades do Integrador, quando servem procura da adPluga (Marketplace, POOL, DIRETO, mediação). A secção 12 define as responsabilidades de cada parte.
- Responsável pelo tratamento — nos dados da conta, da faturação e da segurança do Serviço, nos termos da Política de Privacidade.
2. Objeto e duração
O tratamento serve para prestar o Serviço descrito nos Termos: entregar, medir e proteger anúncios e gerir audiências. Dura enquanto o Cliente usar o Serviço e termina nos termos da secção 10.
3. Dados e titulares
Categorias tratadas por conta do Cliente:
- Titulares — visitantes das propriedades do Integrador e pessoas incluídas nas audiências do Anunciante.
- Identificadores — o identificador pseudonimizado do navegador ou da app (só com consentimento) e os identificadores em hash que o Anunciante inclui nas audiências.
- Dados técnicos — IP e user-agent, guardados só em hash; país; tipo de dispositivo; propriedade e espaço.
- Eventos — impressões, cliques, visibilidade e conversões.
- Não tratamos categorias especiais de dados (art. 9.º) nem dados sobre condenações penais.
4. Instruções do Cliente
A adPluga trata os dados apenas segundo instruções documentadas do Cliente: estes Termos, este Acordo e a configuração que o Cliente faz no painel ou na API. Se uma instrução violar a lei, a adPluga informa o Cliente e pode suspendê-la. A adPluga não usa os dados do Cliente para fins próprios, salvo os da secção 1 em que é responsável.
5. Confidencialidade
Só tem acesso aos dados o pessoal que precisa dele para prestar o Serviço, vinculado a sigilo, com acessos por papel e auditados.
6. Segurança
Medidas técnicas e organizativas aplicadas (art. 32.º):
- Em trânsito — TLS em todas as ligações públicas.
- Pseudonimização — IP e user-agent guardados apenas em hash; o identificador do navegador só existe com consentimento.
- Isolamento — cada Cliente vê só os seus dados, por segurança ao nível da linha na base de dados.
- Acessos — papéis com permissões distintas, credenciais de redes cifradas (AES-GCM) e cópias de segurança cifradas.
- Minimização — hashes de IP e user-agent e membros de audiências apagados ao fim de 365 dias; registos técnicos com IP em claro apagados ao fim de 7 dias.
- Criativos — mostrados em iframe isolado, sem acesso à página do Integrador.
7. Subcontratantes ulteriores
O Cliente autoriza a adPluga a recorrer aos subcontratantes abaixo. Avisamos com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um, e o Cliente pode opor-se por motivo fundamentado. Cada um está vinculado por contrato a obrigações equivalentes às deste Acordo.
- Contabo GmbH (Alemanha) — servidores da API, da base de dados e da cache.
- Cloudflare, Inc. (EUA) — rede de distribuição e proxy de todos os pedidos, armazenamento de criativos e das cópias de segurança cifradas.
- Amazon Web Services (AWS Amplify, Irlanda) — alojamento do site e do painel.
- Google (Firebase Authentication e Gmail) — início de sessão com Google e envio de emails da conta.
- Stripe Payments Europe, Ltd. (Irlanda) — pagamentos e levantamentos.
- Anthropic PBC (EUA) — respostas do assistente do painel, com as perguntas de quem o usa e o estado da conta; as conversas são apagadas ao fim de 90 dias.
8. Assistência ao Cliente
A adPluga ajuda o Cliente a responder aos pedidos dos titulares (acesso, retificação, apagamento, oposição, portabilidade), a cumprir as obrigações de segurança, a notificar violações e a fazer avaliações de impacto, na medida do que trata por sua conta. Um pedido que chegue à adPluga sobre dados de um Cliente é-lhe reencaminhado.
9. Violação de dados
A adPluga notifica o Cliente sem demora injustificada e, em todo o caso, até 48 horas depois de tomar conhecimento de uma violação que afete dados tratados por sua conta, com a natureza da violação, os dados e titulares afetados, as consequências prováveis e as medidas tomadas.
10. Fim do tratamento
O Cliente pode apagar as suas audiências a qualquer momento pela API de audiências, e os membros de audiências são apagados automaticamente ao fim de 365 dias. Quando a relação termina, o Cliente pede o apagamento da conta em privacidade@adpluga.com e a adPluga apaga as audiências e os dados de configuração no prazo de 30 dias. Os eventos ficam pelo prazo da faturação e das obrigações legais, sem hashes de IP e user-agent depois de 365 dias. O Cliente pode exportar os relatórios antes do apagamento.
11. Informação e auditorias
A adPluga disponibiliza ao Cliente a informação necessária para demonstrar o cumprimento deste Acordo. O Cliente pode pedir uma auditoria, até uma vez por ano e com 30 dias de aviso, feita por si ou por um auditor vinculado a sigilo, sem acesso a dados de outros Clientes.
12. Responsabilidade conjunta da tag e do SDK
Quando a tag ou o SDK servem procura da adPluga nas propriedades do Integrador, as partes são responsáveis conjuntas pela recolha e transmissão dos dados (art. 26.º). Cabe ao Integrador informar os visitantes e recolher o consentimento com uma CMP registada no TCF da IAB Europe sempre que o RGPD se aplique, e transmitir a TC string (Termos, §7). Cabe à adPluga tratar os dados depois de os receber segundo a escolha da TC string, conservá-los pelos prazos da Política de Privacidade e responder aos titulares, que podem exercer os seus direitos junto de qualquer das partes em privacidade@adpluga.com. O essencial deste acordo está na Política de Privacidade (§15 e §16).
13. Transferências internacionais
Os subcontratantes nos EUA tratam dados ao abrigo do Quadro de Privacidade de Dados UE-EUA (decisão de adequação da Comissão) quando certificados, ou das cláusulas contratuais-tipo da Comissão (Decisão 2021/914), com medidas suplementares como a cifragem em trânsito e a pseudonimização.
14. Disposições finais
Este Acordo vigora enquanto vigorarem os Termos e rege-se pela lei portuguesa. Alterações materiais são comunicadas com antecedência razoável. Contacto: privacidade@adpluga.com.