Acordo de Tratamento de Dados (DPA)

• Lojista («Responsável pelo Tratamento») — decide finalidades e meios relativamente aos dados dos Clientes Finais
• FlowJersey, Lda. («Subcontratante») — trata dados pessoais dos Clientes Finais apenas por instrução do Lojista, para prestar o serviço SaaS

Este Acordo de Tratamento de Dados («DPA») aplica-se ao tratamento de dados pessoais de Clientes Finais (contas de loja, encomendas, dados de checkout) efectuado pela Subcontratante em nome do Responsável, durante a vigência da subscrição SaaS.

A Subcontratante tratará dados pessoais apenas conforme documentação escrita do Responsável (incluindo estes Termos, configurações da loja e instruções legítimas) e nunca para finalidades próprias de marketing directo sobre Clientes Finais.

O pessoal autorizado está sujeito a dever de confidencialidade. Acesso limitado por função (princípio do need-to-know) e isolamento multi-tenant (RLS).

• Encriptação em trânsito (HTTPS/TLS)
• Encriptação de credenciais Stripe por loja (AES-256-GCM)
• Row Level Security (RLS) na base de dados
• Rate limiting e protecção CSRF
• Auditoria de eventos de segurança e consentimentos legais
• Backups e continuidade conforme fornecedores de infraestrutura

Lista não exaustiva (actualizada na Política de Privacidade):

• Supabase (autenticação, PostgreSQL, storage)
• Vercel (hosting)
• Cloudflare (DNS, CDN, segurança)
• Upstash (rate limiting)
• Stripe (pagamentos de subscrição SaaS — não vendas de loja)
• Resend (email transaccional, se activo)
• Google (OAuth, reCAPTCHA — se activo)

O Responsável autoriza a Subcontratante a recorrer a estes subcontratantes, desde que mantenham garantias adequadas (incluindo SCCs quando aplicável).

A Subcontratante assiste o Responsável no cumprimento de pedidos de exercício de direitos (acesso, rectificação, apagamento, portabilidade, oposição), na medida tecnicamente possível, via ferramentas da plataforma ou contacto: privacidade@flowjersey.com.

A Subcontratante notifica o Responsável sem demora injustificada após tomar conhecimento de violação de dados pessoais, fornecendo informação disponível para cumprimento do art. 33.º RGPD.

Após terminação do serviço, os dados dos Clientes Finais serão eliminados ou anonimizados no prazo técnico razoável, salvo obrigação legal de conservação. Exportação prévia via funcionalidades do dashboard quando disponível.

Este DPA complementa os Termos de Utilização. Em caso de conflito sobre tratamento de dados de Clientes Finais, prevalece este DPA.