Contrato de subcontratação — Brymio

Quando a tua organização usa a Brymio para guardar dados de outras pessoas — os teus clientes e fornecedores, os teus trabalhadores, quem se candidata às tuas ofertas, quem compra na tua loja —, a responsável por esses dados é a tua organização, e a Krokanti Games SL trata-os por conta dela, como subcontratante. Este contrato fixa como o fazemos, tal como exigem o artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD) e o artigo 33.º da Lei Orgânica espanhola 3/2018 de Proteção de Dados (LOPDGDD).

Faz parte dos termos do serviço e aceita-se com eles: ao criar uma conta ou usar a Brymio em nome de uma organização, aceitas este contrato em nome dela, sem assinar mais nada. Se a tua empresa precisar de uma cópia assinada, pede-a em info@brymio.com e enviamos-ta assinada, com este mesmo texto.

1. Partes

Responsável pelo tratamento: a organização — empresa ou profissional independente — que usa a Brymio, representada por quem aceita os termos do serviço em seu nome. Neste contrato, «tu».
Subcontratante: a Krokanti Games SL (NIF B22786248, Avenida Costera 6, 46185 La Pobla de Vallbona, Valência, Espanha), sociedade espanhola que presta o serviço Brymio (www.brymio.com). Neste contrato, «nós».

2. Objeto

Este contrato regula o tratamento que fazemos por tua conta dos dados pessoais que a tua organização carrega na Brymio, liga à Brymio ou recebe através da Brymio, enquanto te prestamos o serviço.

Não abrange os dados de que somos nós os responsáveis — as contas de utilizador, a cobrança da subscrição, o site público, a ajuda e as novidades por e-mail —, que se regem pela política de privacidade.

3. Duração

Dura enquanto a tua organização usar a Brymio: começa quando ela começa a usá-la e termina quando é eliminada. O que está previsto para o fim — devolução, apagamento e conservação do que a lei exige — e o dever de confidencialidade continuam em vigor enquanto conservarmos algum dado teu.

4. Natureza e finalidade

Tratamos os dados apenas para te prestar o serviço, com os módulos que tens ativados: recolhemo-los através dos formulários, das importações e das integrações que ligas; guardamo-los, organizamo-los e mostramo-los às pessoas da tua organização segundo a sua função; fazemos cálculos com eles (impostos, saldos de horas, resultados de pesquisa); enviamo-los a quem indicares (os e-mails aos teus clientes, trabalhadores e candidatos, a tua loja, as integrações que configurares e, se ativares o Veri*factu, a Agência Tributária espanhola); e apagamo-los. Tratamo-los também no estritamente necessário para manter o serviço seguro e a funcionar: cópias de segurança, diagnóstico de erros, prevenção de abusos e aplicação dos limites do plano.

Não os usamos para nada nosso: não os vendemos, não os cedemos a terceiros para fins comerciais ou publicitários, não fazemos perfis com eles e não os usamos para treinar modelos de inteligência artificial.

As funções de inteligência artificial recebem só o que cada tarefa precisa — ler um recibo, resumir uma página, propor uma ficha de produto, explicar uma auditoria —, como explica a política de privacidade. A Contratação não usa inteligência artificial: não entrega os currículos a nenhum fornecedor para os ler ou interpretar. E a Brymio não toma decisões automatizadas sobre as pessoas: não exclui candidaturas nem decide nada sobre um trabalhador; isso decide a tua equipa.

5. Que dados tratamos e de quem

Conforme os módulos que ativares, tratamos por tua conta estas categorias de dados destas pessoas:

Faturação — os teus clientes e fornecedores e as suas pessoas de contacto: nome ou denominação social, número de identificação fiscal, morada, e-mail e telefone; as faturas, orçamentos e despesas com os seus comprovativos; e dados bancários: as contas que neles constem e os movimentos dos extratos que importares, com o descritivo e quem paga ou recebe.
Equipa — os teus trabalhadores e colaboradores: identificação e contacto; contrato e horário previsto; o registo de jornada, com cada marcação à hora do servidor; a localização no instante da marcação, se a tiveres ativada e o trabalhador tiver consentido; ausências e férias com o seu motivo; os recibos de vencimento e documentos que publicares, com o aviso de receção; a data de nascimento, se o trabalhador a indicar; a fotografia do quiosque, se ativares essa opção; e os seus meios de acesso (palavra-passe guardada de forma irreversível, chaves de acesso, PIN do quiosque, ligação ao Telegram e notificações do navegador). As respostas ao pulso de ânimo são anónimas.
Contratação — quem se candidata às tuas ofertas: o que escreve no formulário (nome, e-mail, telefone, mensagem e respostas), o currículo e outros anexos, e o aviso de privacidade que aceitou e quando; e o que a tua equipa faz com cada candidatura: fases, notas, avaliações e entrevistas.
Comércio — quem compra na tua loja: nome, e-mail, telefone, moradas de envio e de faturação, encomendas e reembolsos, tal como chegam do teu Shopify ou do teu WooCommerce.
Pesquisa — quem visita a tua loja: o que pesquisa, quantos resultados obtém e em que produto clica. Não guardamos o endereço IP nem o navegador, apenas um código com chave que muda todos os dias.
Projetos — o que as pessoas da tua organização escrevem ou carregam: páginas, tarefas, comentários, menções, histórico e anexos. Pode conter qualquer dado, e isso decides tu. As notas seguras são cifradas no navegador e não as conseguimos ler.
Saúde da loja — os endereços públicos dos sites que auditas, os resultados e as capturas de ecrã dessas páginas. Normalmente não contém dados pessoais.
Em todos os módulos — as pessoas da tua organização, no que fazem nela: quem criou ou alterou cada coisa, comentários, atribuições e o registo de atividade. As suas contas de utilizador tratamo-las como responsáveis, segundo a política de privacidade.

A Brymio não precisa de categorias especiais de dados (saúde, filiação sindical, origem étnica e as restantes do artigo 9.º do RGPD) nem de dados penais, e não tos pede. Mas podem aparecer se os introduzires: uma ausência por doença, um recibo de vencimento com a quota sindical, um currículo ou um documento com dados de saúde. Nesse caso és tu quem tem de ter fundamento jurídico para os tratar, e nós aplicamos-lhes as mesmas medidas que ao resto.

6. As tuas instruções

Tratamos os dados segundo as tuas instruções documentadas: este contrato, os termos do serviço e o que tu e a tua equipa configuram e fazem na Brymio — os módulos que ativas, as definições, as permissões de cada pessoa, as lojas, os tokens de API, os webhooks e as integrações que ligas. Se precisares de uma instrução diferente, escreve-nos para info@brymio.com.

Só nos afastaríamos das tuas instruções se o direito da União Europeia ou de Espanha nos obrigasse; nesse caso avisar-te-íamos antes, salvo se esse mesmo direito o proibir. Se considerarmos que uma instrução tua viola o RGPD ou outra norma de proteção de dados, dizemos-to de imediato.

Como responsável, cabe-te ter fundamento jurídico para tratar os dados que carregas; informar as pessoas afetadas (por exemplo, os teus trabalhadores sobre o registo de jornada e a geolocalização, e os teus candidatos com o aviso de privacidade que editas na Contratação); recolher os consentimentos necessários; decidir quem na tua organização acede a quê; e escolher e contratar as ferramentas de terceiros que ligares por API, MCP ou webhooks, que não são subcontratantes nossos.

7. Confidencialidade

Só acedem aos dados as pessoas da Krokanti Games SL que mantêm o serviço, e só quando é necessário para o manter, resolver um incidente ou atender um pedido teu. Todas estão sujeitas ao dever de confidencialidade do artigo 5.º da LOPDGDD, que continua em vigor quando termina a sua relação connosco. Não consultamos o conteúdo da tua organização para nada nosso.

8. Medidas de segurança

Aplicamos medidas técnicas e organizativas adequadas ao risco (artigo 32.º do RGPD). Estas são as que existem hoje, descritas tal como são:

Localização: a base de dados e a execução da aplicação ficam em Frankfurt (Alemanha). Os ficheiros são guardados no Cloudflare R2; os currículos e anexos da Contratação, num armazenamento à parte sob jurisdição da União Europeia.
Cifragem em trânsito: todas as ligações à Brymio passam por HTTPS (TLS), com HSTS para que o navegador não aceite uma ligação sem cifra, e a aplicação liga-se à base de dados por um canal cifrado. Os cabeçalhos de segurança impedem que a aplicação seja incorporada noutro site.
Cifragem em repouso: os fornecedores de base de dados e de armazenamento cifram em disco tudo o que guardam. Além disso, ciframos nós mesmos com AES-256-GCM as credenciais de ligação das lojas do Comércio e os segredos das apps do Shopify antes de os guardar.
Credenciais de acesso: as palavras-passe nunca ficam em claro (bcrypt para os membros, scrypt para os trabalhadores), e os tokens de API, as ligações de acesso e os PIN do quiosque ficam guardados apenas como resumo criptográfico. As notas seguras dos Projetos são cifradas no navegador e não as conseguimos ler.
Separação e permissões: cada dado pertence a uma organização e toda a consulta é filtrada por ela, com uma verificação automática no código que o vigia. Dentro da tua organização, cada pessoa vê o que lhe permitem a sua função (proprietário, administrador, membro, contabilista ou observador), os módulos que lhe abriste e, na Equipa e na Contratação, a permissão específica de pessoal ou de seleção. Um token de API nunca tem mais poder do que quem o criou e não pode gerir membros, a subscrição nem a conta.
Acesso das pessoas: bloqueio temporário após cinco tentativas falhadas, autenticação de dois fatores opcional, ligações de acesso de utilização única que expiram e sessões que expiram. Repor a palavra-passe, terminar sessão em todos os dispositivos ou eliminar a conta invalida de imediato todas as sessões abertas. Os formulários públicos têm limites de utilização e uma verificação anti-robôs.
Ficheiros: os recibos de vencimento e documentos da Equipa, os currículos e os comprovativos de despesas só se descarregam através da aplicação, com sessão e permissão, e não a partir de um endereço público.
Rastreabilidade: as ações sensíveis — alterações de membros, funções e módulos, ações de segurança da conta, descargas de faturas, comprovativos e currículos, reconciliações e exportações — ficam num registo de auditoria com quem e quando. Cada marcação fica encadeada por resumo criptográfico com a anterior, de modo que uma alteração é detetada, e cada correção fica guardada à parte com o seu autor e o seu motivo.
Cópias de segurança: uma cópia completa da base de dados todas as noites, num armazenamento separado, e outra antes de cada atualização do serviço, em equipamentos da Krokanti Games SL; umas e outras são apagadas ao fim de 35 dias. Os ficheiros não entram nessas cópias; dependem da redundância do próprio armazenamento.
Diagnóstico de erros: os relatórios de falhas levam apenas os identificadores internos da pessoa e da organização; antes de saírem, são-lhes retirados os e-mails, os tokens, os códigos de acesso dos endereços web, os cookies e o conteúdo dos pedidos.
Equipa: a localização só é guardada no instante da marcação, se a empresa a tiver ativada e o trabalhador tiver consentido; não há seguimento contínuo. A fotografia do quiosque vem desativada e, se for ativada, é apagada ao fim de 90 dias.

Não temos certificação ISO 27001 nem SOC 2, e não dizemos o contrário. Revemos periodicamente a segurança do código e corrigimos o que encontramos; se alguma destas medidas mudar de forma relevante, refleti-lo-emos aqui.

9. Subcontratantes ulteriores

Dás-nos uma autorização geral para recorrer aos subcontratantes ulteriores desta lista. Comprometemo-nos a que cada um fique obrigado por contrato a proteger os dados com garantias equivalentes às deste contrato no que lhe corresponde, e respondemos perante ti pelo seu cumprimento (artigo 28.º, n.º 4, do RGPD).

A lista em vigor, a mesma que a política de privacidade publica:

Vercel — alojamento e execução da aplicação, e medição de visitas e de velocidade sem cookies (os endereços que levam uma chave de acesso são enviados sem ela). As funções que tratam os teus dados correm na sua região de Frankfurt (Alemanha). Empresa norte-americana.
Neon — a base de dados PostgreSQL onde vive tudo o que a plataforma guarda, alojada em Frankfurt (Alemanha). Empresa norte-americana.
Cloudflare R2 — armazenamento de ficheiros: recibos de vencimento, documentos e fotografias de quiosque da equipa, currículos e anexos das candidaturas (estes num armazenamento situado na União Europeia), comprovativos de despesas, exportações de faturas em ZIP (sete dias), anexos de projetos, capturas das auditorias, logótipos, fotos de perfil e as cópias de segurança da base de dados. Empresa norte-americana.
Brevo — envio do correio: o da tua conta e do serviço (verificação, ligações de acesso, avisos e lembretes), o que a tua organização envia a partir da Brymio aos seus clientes, trabalhadores e candidatos (faturas e orçamentos com o seu PDF, lembretes de pagamento, avisos de recibos de vencimento, ausências e candidaturas, códigos de acesso), as mensagens do formulário de contacto, que nos chegam por e-mail, e as novidades a quem subscreve. Empresa francesa, tratamento na União Europeia.
Cloudflare Turnstile — verificação anti-robôs nos formulários públicos de registo, de candidatura, de contacto e de subscrição de novidades. Analisa sinais técnicos do navegador para distinguir uma pessoa de um programa automático e não é usada para publicidade nem análise. Empresa norte-americana.
OpenRouter — a passagem por onde passam todas as funcionalidades de inteligência artificial da Brymio, incluindo o assistente da bolha de ajuda. Encaminha cada pedido para um modelo de um fornecedor como a Google ou a OpenAI (na Microsoft Azure) e só recebe o conteúdo desse pedido. Em cada pedido, a Brymio exige fornecedores que não guardam o que recebem nem o usam para treinar (retenção zero); um modelo sem um fornecedor assim não é usado. A Brymio também não usa esse conteúdo para treinar modelos. Empresa norte-americana.
Inngest — coordena os trabalhos em segundo plano: em Comércio, as importações de catálogo, encomendas e clientes, a sincronização de lojas, as alterações em massa na loja e a emissão de faturas de encomendas (incluindo a automática quando uma encomenda é paga); em Faturação, a exportação de faturas em ZIP; a construção do índice da Pesquisa; e as auditorias de Saúde da loja (as agendadas e as novas tentativas). Os avisos que lhe enviamos levam identificadores (e, na Saúde da loja, o endereço público auditado), nunca credenciais; de cada passo guarda um resultado técnico (estados, contadores e identificadores e, na Saúde da loja, as medições do site auditado). Empresa norte-americana.
Sentry (Functional Software, Inc.) — diagnóstico de erros: quando algo falha na aplicação, recebe o relatório técnico da falha (onde aconteceu, o navegador e a pilha de chamadas) para que a possamos corrigir. Os dados ficam guardados na sua região da União Europeia (Frankfurt, Alemanha). Só leva os identificadores internos da pessoa e da empresa, nunca o nome, o e-mail nem o endereço IP, e os códigos de acesso e os dados pessoais são retirados dos endereços web antes de qualquer envio. Empresa norte-americana.
GitHub — executa todas as noites a cópia de segurança da base de dados e guarda-a na Cloudflare R2. A cópia passa pelos seus servidores enquanto o processo decorre e não fica lá guardada. Empresa norte-americana.
Telegram — só se um trabalhador ou um membro ligar a sua conta ao bot, para marcar ou para receber avisos. Nesse caso o Telegram trata as suas mensagens com o bot, o seu identificador de utilizador e o texto dos avisos que lhe enviamos (uma atribuição, uma menção, a resposta a uma ausência). Se ninguém ligar, o Telegram não intervém.
Serviços de notificações do navegador (Google, Mozilla, Apple ou Microsoft, conforme o navegador) — só se ativares as notificações push. Levam o aviso até ao teu dispositivo; o conteúdo viaja cifrado e eles não o conseguem ler.

Não são subcontratantes ulteriores: o Stripe, que cobra a tua subscrição (disso somos nós os responsáveis); o Google Analytics, que mede a utilização da Brymio para nós e só se quem navega aceitar os cookies analíticos; o início de sessão com a Google, que só intervém se quem entra o escolher; o Google PageSpeed Insights, o Thum.io e a API pública do GitHub, que só recebem o endereço público do site que auditas ou o nome de um repositório público; nem a tua loja Shopify ou WooCommerce, que é fornecedora tua e não nossa. Também não o são as ferramentas que ligares por API, MCP ou webhooks.

Antes de acrescentar ou substituir um subcontratante ulterior avisaremos por e-mail a pessoa proprietária da tua organização com pelo menos 30 dias de antecedência, e atualizaremos esta lista e a sua data. Se a mudança for urgente para manter o serviço ou a sua segurança, avisaremos assim que soubermos. Se te opuseres por motivos razoáveis de proteção de dados, escreve-nos nesse prazo: procuraremos uma alternativa e, se não houver, poderás cancelar antes de a mudança se aplicar e devolveremos a parte proporcional do que tiveres pago antecipadamente e não chegares a usar.

10. Transferências internacionais

A base de dados e a aplicação estão na União Europeia, mas vários subcontratantes ulteriores são empresas norte-americanas e alguns — como o OpenRouter e os fornecedores dos modelos de inteligência artificial, a Inngest e o GitHub, por cujos servidores passa todas as noites a cópia da base de dados — podem tratar dados fora do Espaço Económico Europeu. Essas transferências baseiam-se nas cláusulas contratuais-tipo aprovadas pela Comissão Europeia e, quando o fornecedor aderiu, no Quadro de Privacidade de Dados UE-EUA. Se precisares do detalhe de um fornecedor concreto, pede-no-lo.

11. Direitos das pessoas

Responder aos direitos de acesso, retificação, apagamento, portabilidade, limitação e oposição cabe-te a ti, e a Brymio dá-te ferramentas para o fazer sem passar por nós:

Equipa: cada trabalhador tem nas suas definições «Os seus dados», onde descarrega o que guardamos sobre ele e pede o apagamento do que não há obrigação de conservar, que se aplica de imediato: a sua ficha passa a um pseudónimo e as suas marcações perdem a localização e a fotografia.
Contratação: quem se candidata a uma oferta pode, com a ligação da sua candidatura e um código que recebe por e-mail, consultá-la, corrigir o que escreveu enquanto o processo estiver aberto, descarregar os seus dados, sair da bolsa de talentos ou apagá-la. Ao terminar o prazo de conservação que fixares, cada candidatura é anonimizada automaticamente, exceto enquanto a sua oferta continuar aberta e as de quem acabas por contratar.
Comércio: damos seguimento aos pedidos de acesso e de apagamento que o Shopify envia em nome de quem te compra; o apagamento elimina a sua ficha de cliente e tira das suas encomendas o que o identifica, deixando os montantes e as faturas emitidas, que é preciso conservar. Se precisares de apagar outro comprador, pede-no-lo.
Em todos os módulos podes consultar e corrigir o que guardas, apagar o que a lei não obriga a conservar e exportá-lo nos formatos indicados no ponto 13.

Se uma pessoa se dirigir a nós para exercer um direito sobre dados da tua organização, não lhe responderemos quanto ao fundo: transmitimos-te o pedido sem demora injustificada e indicamos-lhe que se dirija a ti. Se algo não se puder resolver com as ferramentas do produto, ajudamos-te no que estiver ao nosso alcance.

Também te daremos a informação de que dispusermos para as tuas avaliações de impacto e consultas prévias (artigos 35.º e 36.º do RGPD) e para demonstrares que cumpres.

12. Violações de dados

Se sofrermos uma violação de segurança que afete dados da tua organização, notificamos-ta sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas depois de termos conhecimento dela, por e-mail à pessoa proprietária e aos administradores. Dir-te-emos o que soubermos — o que aconteceu, que dados e quantas pessoas podem ser afetadas, as consequências prováveis, o que fizemos e o que te recomendamos — e iremos completando à medida que formos sabendo mais. Documentaremos cada violação, os seus efeitos e as medidas tomadas.

Notificar a autoridade de controlo e, quando for o caso, as pessoas afetadas cabe-te a ti como responsável (artigos 33.º e 34.º do RGPD); ajudamos-te com o que precisares.

13. No fim: devolução e apagamento

Quando a tua organização deixa de usar a Brymio:

Devolução: antes de a eliminares podes levar os dados com as exportações de cada módulo: faturas e orçamentos em PDF, comprovativos em ZIP e resumos fiscais em CSV; o registo de jornada em PDF ou CSV; as candidaturas em CSV; as páginas e bases de dados dos Projetos num ZIP com HTML e CSV; o catálogo em CSV e, com a descarga de dados das definições, os produtos, encomendas e clientes do Comércio em JSON; e os relatórios da Saúde da loja. Se precisares de algo que essas exportações não cubram, pede-no-lo em info@brymio.com antes de a eliminares e entregamos-to num formato estruturado.
Apagamento: ao eliminares a organização, ela deixa de estar acessível de imediato para os seus membros, trabalhadores e candidatos, e durante 30 dias podemos restaurá-la se no-lo pedires. Depois apagamo-la definitivamente quando a pessoa proprietária no-lo pedir por e-mail: os dados de todos os módulos, os seus ficheiros, os tokens, as ligações a lojas e as integrações. Esse apagamento somos nós que o executamos, não é automático, e confirmamos-te por escrito quando estiver feito.
O que a lei obriga a tua organização a conservar não se apaga com ela: as faturas emitidas com os dados dos seus clientes e, se usares o Veri*factu, os seus registos encadeados (quatro anos para efeitos fiscais e seis para os livros e documentos contabilísticos), e o registo de jornada com as suas correções, contratos e recibos de vencimento (quatro anos). Conservamo-lo bloqueado, por tua conta e sem o usar para mais nada, para poderes cumprir essa obrigação e atender uma inspeção, e apagamo-lo quando esses prazos terminarem. As pessoas da tua equipa passam a um pseudónimo e as suas marcações perdem a localização e a fotografia. Se preferires guardá-lo tu, pede-nos que to entreguemos e apagamo-lo assim que o tiveres.
Cópias de segurança: o que é apagado desaparece da aplicação de imediato, mas pode continuar nas cópias de segurança até expirarem, ao fim de 35 dias. Essas cópias só servem para restaurar o serviço.

As contas de utilizador das pessoas da tua organização não se apagam com ela: cada uma pertence ao seu titular, que a conserva ou elimina, como explica a política de privacidade.

14. Auditorias

Pomos à tua disposição a informação necessária para demonstrar que cumprimos este contrato: este documento, as medidas de segurança, a lista de subcontratantes ulteriores e respostas por escrito às tuas perguntas razoáveis. Se isso não bastar, podes auditar-nos tu ou um auditor independente obrigado a confidencialidade, avisando com pelo menos 30 dias de antecedência, no máximo uma vez por ano salvo exigência de uma autoridade ou violação de segurança que o justifique, a teu cargo, em horário laboral e sem aceder a dados de outros clientes nem comprometer a segurança do serviço.

15. Responsabilidade

Cada parte responde pelos danos que causar por incumprir o RGPD ou este contrato, nos termos do artigo 82.º do RGPD. Entre nós aplica-se a limitação de responsabilidade dos termos do serviço na medida em que a lei o permita; essa limitação não afeta os direitos das pessoas cujos dados são tratados nem a responsabilidade que não pode ser excluída.

16. Lei aplicável

Este contrato rege-se pela lei espanhola, pelo RGPD e pela LOPDGDD. Para qualquer litígio são competentes os tribunais de Espanha.

17. Aceitação, prevalência e alterações

Este contrato aceita-se com os termos do serviço, sem assinar mais nada, e vincula as duas partes desde que a tua organização começa a usar a Brymio. Se precisares de uma cópia assinada, pede-a em info@brymio.com.

Se os termos do serviço disserem algo diferente sobre o tratamento de dados pessoais da nossa parte, prevalece este contrato.

Podemos atualizar este contrato, por exemplo ao acrescentar um módulo ou mudar um subcontratante ulterior. Se a alteração for relevante, avisamos-te por e-mail ou na aplicação antes de se aplicar. A data no topo indica a última revisão.

Contacto

Para qualquer questão sobre este contrato ou sobre os dados que tratamos por tua conta, escreve-nos para info@brymio.com.