Última atualização: 27 de março de 2026

Contrato de Tratamento de Dados (CTD)

nos termos do art. 28.º, n.º 3, do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados — RGPD)

entre

o utilizador do serviço Aegis — incluindo a extensão para o Chrome e a demonstração do sítio Web (doravante “Responsável pelo tratamento”)

Kaino GmbH
Grabenweg 68, 4.º piso E5_2
6020 Innsbruck, Áustria
UID: ATU77867578 · FN: 573644w
E-mail: aegis@kaino.io
(adiante “Subcontratante”)

— adiante, em conjunto, as “Partes” —

§ 1 Objeto e duração do tratamento

1.1 Objeto

Este contrato regula os direitos e obrigações das partes no âmbito do tratamento de dados pessoais pelo subcontratante em nome do responsável pelo tratamento. Concretiza as obrigações de proteção de dados das partes decorrentes da utilização do serviço Aegis — incluindo todos os tarifários (PLUS, PRO e ENTERPRISE), bem como a demonstração do website oferecida na página do produto (“Try It”).

O Subcontratante trata dados pessoais exclusivamente por conta e segundo instruções documentadas do Responsável pelo Tratamento (art. 28.º, n.º 3, alínea a), do RGPD), salvo se for obrigado a tratar esses dados ao abrigo do direito da União ou do Estado-Membro a que está sujeito. Nesse caso, o Subcontratante informa o Responsável pelo Tratamento desse requisito legal antes do tratamento, salvo se a legislação em causa proibir tal informação por motivos importantes de interesse público.

1.2 Duração

Para os assinantes, este contrato entra em vigor com a conclusão da subscrição (Aegis PLUS ou Aegis PRO) e termina automaticamente com a cessação da subscrição, independentemente do motivo. Para a utilização da demonstração do website, este contrato entra em vigor com o carregamento de um documento e termina com a conclusão do respetivo tratamento. As obrigações decorrentes dos §§ 5, 7, 8 e 10 permanecem em vigor após o termo do contrato, sendo que o direito de inspeção nos termos do § 8 está limitado a 60 dias após o termo do contrato.

§ 2 Tipo e finalidade do tratamento

2.1 Finalidade

Deteção e anonimização de dados pessoais em documentos do responsável pelo tratamento através de processamento assistido por IA, antes de estes documentos serem transmitidos a plataformas de chat de IA (como ChatGPT, Claude ou Gemini).

2.2 Tipo de tratamento

Receção de conteúdos de documentos encriptados (HTTPS/TLS)
Deteção de dados pessoais suportada por IA (Named Entity Recognition)
Tratamento OCR de ficheiros de imagem (PNG, JPEG, TIFF)
Remoção de metadados incorporados em ficheiros de imagem
Substituição dos dados pessoais detetados por marcadores
Devolução ao Responsável pelo Tratamento do texto anonimizado e do mapeamento de marcadores

2.3 Sem armazenamento

Os conteúdos dos documentos não são armazenados pelo Subcontratante após o tratamento. O tratamento ocorre exclusivamente em memória (In-Memory Processing). Após a devolução do resultado, todos os dados do documento são apagados de imediato.

2.4 Sem Treino de Modelo

O conteúdo dos documentos não será utilizado para treino ou melhoria de modelos de IA, nem pelo subcontratante nem pelos subcontratantes mencionados no § 6.1.

§ 3 Tipo de dados pessoais e categorias de titulares dos dados

3.1 Tipos de dados pessoais

Os documentos do Responsável pelo Tratamento podem conter, nomeadamente, as seguintes categorias de dados pessoais:

Nomes (nome próprio e apelido, títulos académicos)
Dados de contacto (endereços de e-mail, números de telefone, moradas)
Números de identificação (números de segurança social, números de documentos de identificação)
Informações financeiras (números de cartão de crédito, dados bancários)
Datas de nascimento
Endereços IP
Outros dados pessoais contidos em documentos

Categorias especiais de dados pessoais (art. 9.º do RGPD): O Responsável pelo Tratamento é responsável por garantir que o tratamento de categorias especiais de dados pessoais (p. ex., dados de saúde, dados biométricos) só ocorre quando existe uma base legal nos termos do art. 9.º, n.º 2, do RGPD. O Subcontratante não consegue determinar tecnicamente, de forma prévia, a existência desses dados.

3.2 Categorias de titulares dos dados

Dependendo dos documentos do Responsável pelo Tratamento, podem ser afetados:

Colaboradores e candidatos do Responsável pelo Tratamento
Clientes e parceiros comerciais do Responsável pelo Tratamento
Doentes, mandatários, clientes
Outras pessoas singulares mencionadas nos documentos

§ 4 Obrigações do Responsável pelo Tratamento

O Responsável pelo Tratamento é o único responsável pela licitude do tratamento de dados pessoais. Em particular, garante:

que dispõe de uma base legal adequada para transmitir dados pessoais de terceiros ao Subcontratante (p. ex., art. 6.º, n.º 1, alínea f), do RGPD — interesse legítimo na anonimização);
que informou os titulares dos dados sobre o tratamento, na medida em que tal seja razoável e legalmente exigível (artigos 13.º e 14.º do RGPD);
que avaliou autonomamente os riscos para os direitos e liberdades dos titulares dos dados antes da transmissão;
que as instruções dadas ao Subcontratante estão em conformidade com o RGPD.

§ 5 Obrigações do Subcontratante

5.1 Vinculação a instruções

O Subcontratante trata dados pessoais exclusivamente segundo instruções documentadas do Responsável pelo Tratamento — incluindo no que respeita à transferência de dados pessoais para um país terceiro ou uma organização internacional —, salvo se for obrigado a proceder ao tratamento ao abrigo do direito da União ou do Estado-Membro a que está sujeito (art. 28.º, n.º 3, alínea a), do RGPD).

A utilização do serviço Aegis de acordo com os termos de utilização em vigor constitui a instrução documentada do Responsável pelo Tratamento. Instruções individuais adicionais exigem forma escrita (sendo suficiente e-mail) para aegis@kaino.io.

5.2 Confidencialidade

O Subcontratante garante que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal adequada de sigilo (art. 28.º, n.º 3, alínea b), do RGPD).

5.3 Medidas técnicas e organizativas

O Subcontratante adota todas as medidas técnicas e organizativas exigidas pelo art. 32.º do RGPD para assegurar um nível de segurança adequado ao risco. As medidas estão descritas no Anexo 1 (no final do presente contrato).

5.4 Apoio ao Responsável pelo Tratamento

O Subcontratante apoia o Responsável pelo Tratamento, tendo em conta a natureza do tratamento:

no cumprimento da obrigação de responder a pedidos de exercício dos direitos do titular dos dados referidos no Capítulo III do RGPD (art. 28.º, n.º 3, alínea e), do RGPD);
no cumprimento das obrigações referidas nos artigos 32.º a 36.º do RGPD (segurança do tratamento, notificação de violações de dados pessoais, avaliação de impacto sobre a proteção de dados, consulta prévia) (art. 28.º, n.º 3, alínea f), do RGPD).

5.5 Notificação de violações de dados pessoais

O Subcontratante informa o Responsável pelo Tratamento de imediato após ter conhecimento de uma violação de dados pessoais (art. 33.º, n.º 2, do RGPD). A notificação contém, no mínimo:

uma descrição da natureza da violação;
as categorias e o número aproximado de titulares dos dados afetados e de registos de dados;
uma descrição das prováveis consequências;
uma descrição das medidas adotadas ou propostas.

A notificação é efetuada por e-mail para o endereço de e-mail do Responsável pelo Tratamento registado na subscrição. Para os utilizadores da demonstração do website, cujo endereço de e-mail não seja conhecido pelo subcontratante, a notificação será feita através de publicação no website do subcontratante.

5.6 Informação em caso de instruções ilícitas

O Subcontratante informa o Responsável pelo Tratamento de imediato se considerar que uma instrução viola o RGPD ou outras disposições de proteção de dados (art. 28.º, n.º 3, 2.º parágrafo, do RGPD).

§ 6 Sub-subcontratantes

6.1 Sub-subcontratantes aprovados

O Responsável pelo Tratamento concede ao Subcontratante uma autorização geral por escrito para contratar os seguintes sub-subcontratantes (art. 28.º, n.º 2, do RGPD):

Sub-subcontratante	Finalidade	Localização
OVHCloud SAS, Roubaix, França	Anonimização assistida por IA e processamento OCR de conteúdo de documentos (Zero Data Retention)	UE (França)
Scaleway SAS, Paris, França	Anonimização baseada em IA e processamento OCR de conteúdos de documentos (Zero Data Retention)	UE (França)
Hetzner Online GmbH, Gunzenhausen, Alemanha	Alojamento de servidores e infraestrutura de API (`aegis.kaino.io`)	Alemanha
Raidboxes GmbH, Münster, Alemanha	Alojamento de sítios Web e tratamento de carregamentos de documentos de demonstração	Alemanha

O subcontratante celebrou contratos com todos os subcontratantes ulteriores, nos termos do Art.º 28.º, n.º 4 do RGPD, que lhes impõem as mesmas obrigações de proteção de dados que as estabelecidas neste contrato.

6.2 Alteração de sub-subcontratantes

O Subcontratante informa previamente o Responsável pelo Tratamento de qualquer adição ou substituição planeada de sub-subcontratantes e dá ao Responsável pelo Tratamento a possibilidade de apresentar objeção a essas alterações (art. 28.º, n.º 2, do RGPD).

A informação é prestada através da atualização da lista de sub-subcontratantes no website do Subcontratante (kaino.io/aegis/privacy, secção 7), bem como por e-mail ao Responsável pelo Tratamento, pelo menos 30 dias antes da alteração prevista.

Se o Responsável pelo Tratamento apresentar uma objeção fundamentada no prazo de 30 dias após a notificação, as Partes envidarão esforços para encontrar uma solução por mútuo acordo. Se não for possível chegar a acordo, o Responsável pelo Tratamento tem direito a rescindir extraordinariamente a subscrição.

6.3 Sem transferências para países terceiros

Todo o tratamento de documentos ocorre exclusivamente dentro da UE/do EEE. O Subcontratante não transfere conteúdos de documentos para países terceiros.

§ 7 Eliminação e devolução de dados

7.1 Durante o tratamento

Os conteúdos dos documentos são eliminados de imediato e automaticamente após a conclusão da anonimização. Não há armazenamento permanente de conteúdos de documentos.

7.2 Após o termo do contrato

O Subcontratante elimina no prazo de 30 dias após a cessação da subscrição todos os dados pessoais relacionados com o tratamento por conta, salvo se a conservação for exigida pelo direito da União ou do Estado-Membro (art. 28.º, n.º 3, alínea g), do RGPD).

Como os conteúdos dos documentos não são armazenados permanentemente, a eliminação limita-se a:

Dados-mestre de clientes (endereço de e-mail, nome, nome da empresa): anonimização irreversível no prazo de 30 dias após a cessação da subscrição
Estatísticas de utilização: anonimização no prazo de 30 dias após a cessação da subscrição
Registos de acesso ao servidor: eliminação automática ao fim de 30 dias

§ 8 Direitos de controlo e auditoria

8.1 Direito de auditoria do Responsável pelo Tratamento

O Subcontratante disponibiliza ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no art. 28.º do RGPD e permite e contribui para auditorias — incluindo inspeções — realizadas pelo Responsável pelo Tratamento ou por um auditor por si mandatado (art. 28.º, n.º 3, alínea h), do RGPD).

8.2 Realização

As auditorias são realizadas nas seguintes condições:

Notificação por escrito com, pelo menos, 30 dias de antecedência (sendo suficiente e-mail)
Realização durante o horário normal de funcionamento
O auditor está obrigado à confidencialidade
A auditoria não pode prejudicar de forma desproporcionada a atividade do Subcontratante
No máximo uma auditoria por ano civil, salvo se um motivo específico exigir uma auditoria adicional

8.3 Demonstração

O Subcontratante pode também demonstrar o cumprimento das suas obrigações mediante a apresentação de um certificado atual, de um relatório de auditoria ou de um excerto do mesmo emitido por um auditor independente.

§ 9 Responsabilidade

A responsabilidade das Partes rege-se pelo art. 82.º do RGPD. No demais, aplicam-se as disposições gerais de responsabilidade dos termos de utilização do Aegis.

§ 10 Disposições finais

10.1 Prevalência

Em caso de divergências entre o presente CTD e outros acordos entre as Partes — incluindo os termos de utilização —, o presente CTD prevalece no que respeita à proteção de dados pessoais.

10.2 Alterações

As alterações ao presente contrato devem ser efetuadas por escrito. As alterações substanciais são comunicadas ao Responsável pelo Tratamento com, pelo menos, 30 dias de antecedência relativamente à sua entrada em vigor. Se o Responsável pelo Tratamento não apresentar objeção no prazo de 30 dias após a notificação, a alteração considera-se aceite.

10.3 Lei aplicável e foro competente

O presente contrato rege-se pelo direito austríaco. O foro competente é Innsbruck, Áustria, na medida do legalmente permitido.

10.4 Cláusula de salvaguarda

Se alguma disposição do presente contrato for inválida ou inexequível, as restantes disposições mantêm-se inalteradas. A disposição inválida deve ser substituída por uma válida que mais se aproxime do objetivo económico pretendido.

Anexo 1: Medidas técnicas e organizativas (art. 32.º do RGPD)

A Kaino GmbH não opera centros de dados próprios. As medidas de segurança física (acesso, alimentação elétrica, proteção contra incêndios, climatização) são garantidas pelos fornecedores de infraestrutura Hetzner Online GmbH (Alemanha, ISO 27001), OVHCloud SAS (França, ISO 27001) e Scaleway SAS (França, ISO 27001). Relativamente às suas medidas técnicas e organizativas, remetemos para:

Hetzner Online GmbH: hetzner.com/de/legal/privacy-policy
OVHCloud SAS: ovhcloud.com/de/personal-data-protection
Scaleway SAS: scaleway.com/en/privacy-policy

A Kaino GmbH é responsável pelas seguintes medidas ao nível da aplicação:

1. Tratamento transitório (característica central de segurança)

Os conteúdos dos documentos são tratados exclusivamente em memória (In-Memory Processing) e descartados de imediato após a devolução do resultado. Não há armazenamento permanente de conteúdos de documentos. Este princípio de arquitetura elimina riscos relevantes de retenção de dados: em caso de falha do sistema, não se perdem dados de documentos, porque não estão armazenados. O princípio de Zero-Data-Retention aplica-se de forma contínua ao longo de toda a cadeia de tratamento — incluindo os subcontratantes ulteriores OVHCloud e Scaleway.

Minimização de dados através de pré-processamento baseado em regras: Antes da transmissão para o processamento assistido por IA, a Kaino GmbH realiza um pré-processamento baseado em regras no lado do servidor, no qual os dados pessoais já identificados (por exemplo, nomes, endereços de e-mail, números de telefone) são substituídos por marcadores de posição. O conteúdo transmitido aos modelos de IA já está, portanto, parcialmente anonimizado, reduzindo a quantidade de dados pessoais processados pelos subcontratantes ao mínimo tecnicamente necessário.

2. Confidencialidade (art. 32.º, n.º 1, alínea b), do RGPD)

Medida	Implementação
Controlo de acesso	Acesso à API apenas com chave de produto válida; sem acesso anónimo
Controlo de acessos	Acesso ao servidor limitado a um grupo de pessoas muito restrito; acesso via SSH com autenticação por chave; autenticação de dois fatores (2FA) em todos os sistemas; princípio do mínimo privilégio
Controlo de separação	Separação de clientes por chaves de produto individuais; sem tratamento de dados entre clientes
Compromisso de confidencialidade	Todas as pessoas com acesso a dados pessoais estão obrigadas à confidencialidade (§ 5.2 do presente contrato)

3. Integridade (art. 32.º, n.º 1, alínea b), do RGPD)

Medida	Implementação
Controlo de transmissão	Transmissão exclusivamente encriptada (HTTPS/TLS); sem ligações não encriptadas
Controlo de introdução	Registo de acessos à API (registos de acesso ao servidor, conservação por 30 dias)

4. Disponibilidade e resiliência (art. 32.º, n.º 1, alíneas b) e c), do RGPD)

A disponibilidade e a resiliência são asseguradas pelos fornecedores de infraestrutura (fornecimento de energia redundante, ligação de rede, climatização). Como os conteúdos dos documentos não são armazenados permanentemente, não é necessário dispor de procedimentos de backup e recuperação para dados de documentos.

5. Encriptação e pseudonimização (art. 32.º, n.º 1, alínea a), do RGPD)

Medida	Implementação
Encriptação em trânsito	HTTPS/TLS para toda a comunicação da API
Encriptação em repouso	Encryption-at-Rest para dados-mestre de clientes (endereço de e-mail, nome, nome da empresa)
Pseudonimização	Função central do serviço: substituição de dados pessoais por marcadores

6. Verificação (art. 32.º, n.º 1, alínea d), do RGPD)

Medida	Implementação
Verificação regular	Avaliação anual da eficácia das medidas técnicas e organizativas
Verificação por motivo e por alterações	Verificação das medidas técnicas e organizativas quando há alterações na infraestrutura, incidentes de segurança e alterações dos sub-subcontratantes
Controlo de subcontratação	CTDs celebrados com todos os sub-subcontratantes; verificação em caso de alterações contratuais ou mudança de fornecedor

Aegis – Contrato de Tratamento de Dados