Adenda de Tratamento de Dados

1.1 Esta DPA rege o tratamento, pela Outlex, de Dados Pessoais do Cliente enquanto subcontratante, em nome do Cliente, no âmbito dos Serviços.

1.2 Os Serviços incluem a plataforma Outlex, o website, o software, as funcionalidades com IA, a Lexi, a análise de documentos, perguntas e respostas jurídicas, redação, revisão, automatização de workflows, transferência para advogado, subscrições, créditos, integrações, suporte e serviços relacionados.

1.3 Esta DPA não se aplica quando a Outlex atua como responsável pelo tratamento independente, incluindo para administração de contas, faturação, vendas, marketing, analítica do website, monitorização de segurança, prevenção de abusos, conformidade legal, melhoria de serviço não realizada em nome do Cliente, ou outras atividades de responsável pelo tratamento descritas na Política de Privacidade.

1.4 Os detalhes do tratamento estão descritos no Anexo A.

2.1 O Cliente atua como responsável pelo tratamento dos Dados Pessoais do Cliente. A Outlex atua como subcontratante quando trata Dados Pessoais do Cliente em nome do Cliente.

2.2 A Outlex trata Dados Pessoais do Cliente apenas com base em instruções documentadas do Cliente, incluindo as constantes no Acordo, nesta DPA, nas definições do produto, nas integrações ativas, em pedidos de suporte, em ações do utilizador e noutras instruções escritas aceites pela Outlex.

2.3 O Cliente instrui a Outlex a tratar Dados Pessoais do Cliente conforme necessário para prestar, proteger, manter, suportar e melhorar os Serviços, executar o Acordo, prevenir abusos, resolver problemas, cumprir a lei e exercer direitos legais.

2.4 O Cliente é responsável por garantir que tem fundamento legal para submeter Dados Pessoais do Cliente à Outlex, que fornece as informações exigidas aos titulares dos dados e que as suas instruções cumprem a legislação de proteção de dados aplicável.

2.5 A Outlex informará o Cliente, sem demora, se considerar que uma instrução viola o RGPD ou outra legislação de proteção de dados aplicável da UE ou do Estado-Membro, exceto se a lei o proibir.

3.1 A Outlex garante que as pessoas autorizadas a tratar Dados Pessoais do Cliente estão vinculadas a obrigações adequadas de confidencialidade ou estão sujeitas a uma obrigação estatutária adequada de confidencialidade.

3.2 A Outlex limita o acesso aos Dados Pessoais do Cliente ao pessoal, contratantes, subcontratantes e Profissionais autorizados que necessitem de acesso para prestar os Serviços, apoiar o Cliente, proteger a plataforma ou cumprir o Acordo.

3.3 A Outlex mantém controlos de acesso internos concebidos para garantir que os Dados Pessoais do Cliente são acedidos apenas numa base de necessidade de conhecimento e de menor privilégio.

4.1 A Outlex implementa e mantém medidas técnicas e organizativas adequadas, concebidas para proteger os Dados Pessoais do Cliente contra tratamento não autorizado ou ilícito e contra a destruição, perda, alteração, divulgação ou acesso acidental ou ilícito.

4.2 Estas medidas estão descritas no Anexo B e podem incluir cifragem, controlos de acesso, autenticação, registo de eventos, segurança de rede, gestão de vulnerabilidades, cópias de segurança e recuperação, resposta a incidentes, confidencialidade do pessoal e revisão de fornecedores.

4.3 O Cliente é responsável por configurar adequadamente os seus utilizadores, permissões, dispositivos, integrações, exportações e políticas de acesso internas.

4.4 O Cliente reconhece que nenhum serviço online pode ser garantido como totalmente seguro.

5.1 O Cliente concede à Outlex autorização geral escrita para contratar subcontratantes para o tratamento de Dados Pessoais do Cliente com o objetivo de prestar os Serviços.

5.2 A Outlex impõe aos subcontratantes obrigações de proteção de dados que, na substância, não são menos protetoras do que as estabelecidas nesta DPA, na medida aplicável aos serviços de subcontratação.

5.3 A Outlex permanece responsável perante o Cliente pelo cumprimento, por parte dos seus subcontratantes, das obrigações de proteção de dados.

5.4 A lista atual de subcontratantes consta do Anexo C.

5.5 A Outlex pode acrescentar ou substituir subcontratantes periodicamente. Sempre que exigido, a Outlex notifica previamente as alterações materiais de subcontratantes, atualizando o Anexo C ou enviando aviso na aplicação, por email ou por outro meio razoável.

5.6 O Cliente pode opor-se a um novo subcontratante com fundamentos razoáveis de proteção de dados, notificando a Outlex no prazo de 15 dias após o aviso. As partes trabalharão de boa-fé para resolver a oposição. Se a oposição não puder ser razoavelmente resolvida, o Cliente pode deixar de utilizar a funcionalidade afetada ou rescindir os Serviços afetados quando legalmente exigido.

6.1 A Outlex foi concebida tendo em consideração os requisitos de proteção de dados da UE. O alojamento e o tratamento primário destinam-se a ocorrer no EEE, quando razoavelmente disponível.

6.2 Alguns subcontratantes ou prestadores de serviços podem tratar Dados Pessoais do Cliente fora do EEE, Reino Unido ou Suíça.

6.3 Sempre que os Dados Pessoais do Cliente forem transferidos internacionalmente, a Outlex baseia-se em mecanismos de transferência adequados, como decisões de adequação, as Cláusulas Contratuais Tipo da UE, o Acordo Internacional de Transferência de Dados do Reino Unido ou Adenda do Reino Unido, o EU-US Data Privacy Framework para fornecedores certificados e medidas técnicas, contratuais ou organizativas suplementares, quando adequado.

6.4 O Cliente autoriza a Outlex e os seus subcontratantes a efetuar essas transferências sempre que necessárias para a prestação dos Serviços e sujeitas às salvaguardas descritas nesta DPA.

7.1 Tendo em conta a natureza do tratamento e as informações disponíveis à Outlex, a Outlex assiste razoavelmente o Cliente no cumprimento das suas obrigações previstas nos artigos 32.º a 36.º do RGPD, incluindo segurança, notificação de violações, avaliações de impacto sobre a proteção de dados e consulta prévia às autoridades de controlo.

7.2 A Outlex assiste razoavelmente o Cliente na resposta a pedidos de titulares de dados relativos a Dados Pessoais do Cliente, na medida do possível e tendo em conta a natureza dos Serviços.

7.3 Se a Outlex receber um pedido de um titular de dados relativo a Dados Pessoais do Cliente, pode encaminhá-lo para o Cliente, exceto se for legalmente obrigada a responder diretamente.

7.4 A Outlex pode cobrar taxas razoáveis pela assistência que esteja fora da funcionalidade padrão dos Serviços, exceto quando a assistência for necessária devido a uma violação desta DPA pela Outlex.

8.1 A Outlex notifica o Cliente sem demora indevida após tomar conhecimento de uma violação de dados pessoais que afete Dados Pessoais do Cliente.

8.2 A notificação inclui as informações razoavelmente disponíveis à Outlex, tais como a natureza da violação, as categorias de dados afetadas, as consequências prováveis e as medidas tomadas ou propostas para resolver a violação.

8.3 A Outlex pode fornecer informações por fases à medida que estas se tornam disponíveis.

8.4 O Cliente é responsável por determinar se tem de notificar as autoridades de controlo ou os titulares de dados afetados.

9.1 A Outlex disponibiliza ao Cliente as informações razoavelmente necessárias para demonstrar o cumprimento desta DPA.

9.2 Sempre que disponível, a Outlex pode satisfazer pedidos de auditoria fornecendo documentação de segurança, políticas, resumos, certificações, relatórios de auditoria ou respostas a questionários de segurança razoáveis.

9.3 O Cliente pode solicitar uma auditoria quando exigido nos termos do artigo 28.º do RGPD, desde que a auditoria seja razoável, proporcional, limitada aos Dados Pessoais do Cliente, sujeita a confidencialidade, não comprometa a segurança ou confidencialidade de outros clientes e seja realizada durante o horário comercial normal com aviso prévio razoável.

9.4 As auditorias não podem perturbar de forma irrazoável as operações da Outlex nem comprometer a segurança da plataforma.

9.5 O Cliente suportará os seus próprios custos de auditoria e reembolsará a Outlex pelos custos razoáveis sempre que a auditoria for extensa, repetitiva ou estiver fora do apoio padrão de conformidade, exceto se a auditoria identificar uma violação material pela Outlex.

10.1 Após a cessação ou expiração dos Serviços, a Outlex elimina ou devolve os Dados Pessoais do Cliente em conformidade com o Acordo, a funcionalidade do produto, as definições de retenção e esta DPA.

10.2 Sempre que tecnicamente disponível, o Cliente pode exportar Dados do Cliente durante o período de subscrição e por um período limitado após a cessação.

10.3 Salvo acordo em contrário, os Dados do Cliente estarão geralmente disponíveis para exportação durante 30 dias após a cessação, podendo depois ser eliminados ou tornados inacessíveis.

10.4 A Outlex pode conservar cópias de Dados Pessoais do Cliente quando exigido por lei, necessário para reclamações legais, segurança, prevenção de fraude, auditoria, integridade de cópias de segurança ou registos comerciais legítimos, desde que esses dados permaneçam protegidos e não sejam tratados para outros fins.

10.5 As cópias de segurança podem persistir por um período limitado antes de serem sobrescritas de acordo com os ciclos de cópias de segurança da Outlex.

11.1 Se a Outlex receber um pedido juridicamente vinculativo de uma autoridade pública, tribunal, regulador, autoridade policial ou terceiro que procure aceder aos Dados Pessoais do Cliente, a Outlex notificará o Cliente sempre que legalmente permitido.

11.2 A Outlex analisa esses pedidos e divulga apenas os Dados Pessoais do Cliente que esteja legalmente obrigada a divulgar.

11.3 A Outlex não fornece voluntariamente acesso a Dados Pessoais do Cliente a autoridades ou terceiros, exceto quando legalmente exigido ou autorizado pelo Cliente.

12.1 A Outlex mantém registos das atividades de tratamento sempre que exigido pela legislação de proteção de dados aplicável.

12.2 A Outlex coopera com o Cliente e com as autoridades de controlo competentes, conforme exigido pelo RGPD e pela legislação de proteção de dados aplicável.

13.1 Alguns Serviços dependem de fornecedores de modelos de IA, fornecedores de infraestrutura e outros subcontratantes para gerar, tratar, analisar ou suportar Resultados de IA.

13.2 Salvo acordo expresso em contrário, os Dados Pessoais do Cliente não são utilizados para treinar modelos fundacionais de terceiros. Isto aplica-se aos atuais fornecedores de modelos de IA da Outlex, incluindo OpenAI, Anthropic / Claude models e Google Gemini, sujeito à configuração de fornecedor aplicável da Outlex e aos respetivos termos contratuais.

13.3 Qualquer utilização opcional para treino, fine-tuning, benchmarking ou melhoria de produto envolvendo Dados Pessoais do Cliente exigirá um acordo escrito separado, uma definição de produto ou outro mecanismo legal sempre que exigido.

13.4 Os Resultados de IA podem ser gerados a partir de Dados Pessoais do Cliente, prompts, documentos, contexto do workspace, fontes jurídicas, modelos, playbooks e outro contexto disponibilizado através dos Serviços.

13.5 O Suporte Jurídico Humano pode envolver o acesso a Dados Pessoais do Cliente por Profissionais quando o Cliente solicitar transferência para advogado ou revisão humana.

13.6 Dependendo do assunto, jurisdição, estrutura de contratação e regras profissionais aplicáveis, os Profissionais podem atuar como responsáveis pelo tratamento independentes, prestadores de serviços profissionais separados, subcontratantes ou pessoas autorizadas a tratar dados sob responsabilidade da Outlex.

13.7 Quando um Profissional atua como subcontratante ou pessoa autorizada da Outlex, a Outlex garante a aplicação de obrigações adequadas de confidencialidade e proteção de dados. Quando um Profissional atua como responsável pelo tratamento independente ou prestador de serviços jurídicos separado, podem aplicar-se os seus próprios deveres profissionais, obrigações de privacidade e termos de contratação.

13.8 O Cliente é responsável por decidir se submete categorias especiais de dados, dados de infrações penais, informações altamente confidenciais ou informações reguladas aos Serviços. O Cliente deve submeter esses dados apenas quando necessário, lícito e adequado ao caso de utilização.

14.1 A responsabilidade de cada parte ao abrigo desta DPA está sujeita às limitações e exclusões de responsabilidade do Acordo, salvo proibição da lei aplicável.

14.2 Em caso de conflito entre esta DPA e o Acordo quanto ao tratamento de Dados Pessoais do Cliente, prevalece esta DPA.

14.3 Em caso de conflito entre esta DPA e as Cláusulas Contratuais Tipo, quando aplicáveis, prevalecem as Cláusulas Contratuais Tipo para a transferência internacional em causa.