Termos e Condições

Empresa: Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Países Baixos

Câmara de Comércio (KvK): 92122167

Sítio web: www.carsu.com

Empresa do grupo: Carsu Italia S.r.l., Via Fabro 8, 10122 Torino, Itália; REA TO-1365449; P.IVA / C.F. 13468500015; PEC carsu.italia@pec.it (subsidiária detida integralmente pela Carsu B.V.)

Última atualização: 8 de setembro de 2026

Data de entrada em vigor: 8 de setembro de 2026

1. Introdução

Os presentes Termos e Condições («Termos») regem o acesso e a utilização da plataforma de software como serviço («SaaS») explorada pela Carsu B.V. («Carsu», «Empresa», «nós», «nosso» ou «nos»), disponível em https://www.carsu.com e através das nossas aplicações móveis («Plataforma»).

Ao criar uma conta ou utilizar a nossa Plataforma, aceita ficar vinculado pelos presentes Termos, pela nossa Política de Privacidade (disponível em https://www.carsu.com/privacy), pela nossa Política de Cookies (disponível em https://www.carsu.com/cookie-policy) e por qualquer formulário de encomenda ou contrato de subscrição aplicável. Se não concordar, não utilize os nossos serviços.

Entidade contratante. A sua contraparte contratual ao abrigo dos presentes Termos é a Carsu B.V., salvo se o seu formulário de encomenda, a confirmação da subscrição ou a fatura indicarem como entidade contratante a Carsu Italia S.r.l. (Via Fabro 8, 10122 Torino, Itália; REA TO-1365449; P.IVA 13468500015), subsidiária detida integralmente pela Carsu B.V. Nesse caso, «Carsu», «nós», «nosso» e «nos» designam a Carsu Italia S.r.l. para efeitos da sua Subscrição, da faturação, do Acordo de Tratamento de Dados constante do Anexo A e de qualquer reclamação ao abrigo dos presentes Termos. A Carsu B.V. e a Carsu Italia S.r.l. podem, cada uma, cumprir obrigações decorrentes dos presentes Termos em nome da outra (incluindo desenvolvimento, alojamento, suporte e gestão de clientes); a sua contraparte contratual continua a ser responsável perante si pelo cumprimento. Os presentes Termos aplicam-se igualmente a qualquer outra subsidiária, afiliada ou empresa do grupo da Carsu B.V. que preste serviços sob a marca Carsu.

2. Definições

3. Serviços Prestados

A Carsu disponibiliza uma plataforma SaaS completa, concebida para o setor do pós-venda automóvel, que inclui:

• Gestão de Oficinas: gestão da relação com o cliente (CRM), gestão da agenda, faturação e registo do histórico de serviços, incluindo fotografias dos veículos e dos trabalhos realizados.
• Aplicação Móvel: uma aplicação complementar para iOS e Android destinada à equipa da oficina, conforme descrita na Secção 5.5.
• Serviços de Comunicação: mensagens integradas através de WhatsApp Business, SMS e Viber, que permitem aos Utilizadores comunicar com os seus Consumidores Finais.
• Marcações Online: um widget de marcações incorporável, através do qual os Consumidores Finais podem pedir marcações a partir do próprio website do Utilizador.
• Informação sobre Veículos e Peças: acesso a dados de veículos, catálogos de peças e informação sobre procedimentos de reparação.
• Registos de Stock e de Armazenamento: stock de peças e registos dos Bens Armazenados que o Utilizador guarda para os Consumidores Finais (hotel de pneus), conforme descrito na Secção 5.6.
• Faturação e Comunicação Fiscal: emissão de faturas e, quando ativada para o país do Utilizador, transmissão dos dados das faturas à autoridade tributária competente, conforme descrito na Secção 7.6.
• Processamento de Pagamentos: processamento de pagamentos integrado através da Stripe.
• Integrações de Terceiros: sincronização opcional, por opção sua, dos dados das marcações com serviços de calendário externos (como o Google Calendar), conforme descrito na Secção 5.4.
• Apoio ao Cliente: serviços de apoio, incluindo funcionalidades assistidas por IA, como a tradução automática de mensagens.

4. Registo da Conta e Segurança

4.1 Registo

Para aceder à Plataforma, tem de registar uma Conta. Compromete-se a fornecer informações exatas, atuais e completas durante o registo e a mantê-las atualizadas.

4.2 Segurança da Conta

É responsável por manter a confidencialidade das suas credenciais de acesso e por todas as atividades realizadas na sua Conta. Deve notificar-nos de imediato através de hello@carsu.com se tiver conhecimento de qualquer utilização não autorizada da sua Conta.

4.3 Elegibilidade da Conta

A Plataforma destina-se a utilização profissional (B2B). Ao registar-se, declara que está autorizado a agir em nome da entidade empresarial que regista e que tem capacidade jurídica para aceitar os presentes Termos.

4.4 Membros e Funções

Um Utilizador pode adicionar Membros à sua Conta e atribuir-lhes funções. O Utilizador é responsável pelos atos e omissões dos seus Membros, por manter atualizados os acessos dos Membros (incluindo remover os Membros que deixem a empresa) e por garantir que cada Membro tem conhecimento dos presentes Termos e da Política de Privacidade. O acesso aos dados e às funções é determinado pela função atribuída; a Carsu aplica as funções do lado do servidor.

4.5 Eliminação da Conta de um Membro

Um Membro pode eliminar o seu próprio acesso à Plataforma (web ou Aplicação Móvel). A Carsu envia ao Membro, por e-mail, uma ligação de confirmação válida durante 24 horas, e a eliminação só produz efeitos quando o Membro a confirmar. Após a confirmação, o acesso é desativado de imediato, a sessão do Membro é terminada em todos os dispositivos e o Membro deixa de aparecer na Conta; se o Membro voltar a iniciar sessão no prazo de 30 dias, o acesso é restaurado, sendo eliminado definitivamente findo esse prazo, conforme descrito nos §8 e §11 da Política de Privacidade. A eliminação do acesso de um Membro não elimina os dados empresariais do Utilizador, os dados dos Consumidores Finais, as faturas, os registos de pagamento nem os registos de auditoria, que permanecem na Conta. Os Membros com função de proprietário ou de administrador têm de transferir primeiro essa função para outro Membro, porque uma Conta tem de ter sempre alguém capaz de gerir a faturação, os Membros e a Subscrição. A eliminação de um acesso não constitui o cancelamento da Subscrição (ver Secção 13.2).

5. Utilização da Plataforma e dos Serviços de Comunicação

5.1 Integração de Mensagens

A nossa Plataforma integra-se com WhatsApp Business, gateways de SMS e Viber. Os Utilizadores devem cumprir os termos e as políticas de terceiros aplicáveis a cada canal de comunicação utilizado. A Carsu não é responsável por alterações às políticas ou à disponibilidade das plataformas de terceiros.

5.2 Tarifas de Mensagens

As tarifas de envio de mensagens são variáveis e dependem do destino, do tipo de mensagem e do nível da sua Subscrição. As tarifas em vigor estão disponíveis na secção Definições do painel da sua Conta. A Carsu reserva-se o direito de ajustar as tarifas de mensagens mediante aviso prévio de 14 dias, através do painel da sua Conta ou por e-mail.

5.3 Consentimento e Conformidade

A Carsu disponibiliza ferramentas e orientações para ajudar os Utilizadores a obter e gerir o consentimento para as comunicações com os Consumidores Finais, em conformidade com a Diretiva Privacidade Eletrónica e a legislação nacional aplicável. No entanto, enquanto Responsável pelo Tratamento dos dados dos Consumidores Finais, o Utilizador é, em última instância, responsável por garantir que:

• É obtido um consentimento válido antes do envio de mensagens de marketing;
• As mensagens cumprem a legislação aplicável em matéria de anti-spam e de comunicações eletrónicas;
• Os pedidos de oposição (opt-out) dos Consumidores Finais são respeitados com prontidão.

Registos e Declarações de Consentimento. A Plataforma permite-lhe registar o consentimento dos Consumidores Finais: individualmente ou, no caso de Consumidores Finais importados para a Plataforma, em bloco. Cada registo de consentimento que introduz (incluindo qualquer declaração em bloco) constitui uma declaração e garantia sua de que o consentimento em causa foi validamente obtido para as finalidades registadas e de que o pode comprovar mediante pedido. A Carsu baseia-se nestes registos para operar as funcionalidades de mensagens e de campanhas da Plataforma e não os verifica de forma independente.

Prevalência da Oposição e Lista de Exclusão. Os pedidos de oposição dos Consumidores Finais são aplicados ao nível da Plataforma. Um Consumidor Final que tenha exercido a oposição é incluído numa lista de exclusão que não pode ser anulada por nenhuma confirmação de consentimento, seja individual ou em bloco; o consentimento para marketing desse Consumidor Final só pode ser restabelecido por iniciativa do próprio Consumidor Final. Os Consumidores Finais sem consentimento para marketing registado ficam excluídos, por predefinição, das campanhas de marketing.

Suspensão de Campanhas. A Carsu pode suspender ou restringir as funcionalidades de campanhas e de mensagens de marketing de uma Conta quando surjam indícios de abuso (incluindo taxas invulgarmente elevadas de oposição, bloqueio ou reclamação) ou quando tal seja razoavelmente necessário para proteger a integridade das integrações de canais de mensagens da Carsu, enquanto decorre a investigação.

5.4 Integrações de Terceiros

A Plataforma oferece Integrações de Terceiros opcionais, incluindo a sincronização com o Google Calendar.

• Autorização. A utilização de qualquer Integração de Terceiros depende exclusivamente da sua opção e exige que autorize a ligação através do processo de autenticação do terceiro (por exemplo, Google OAuth). Autoriza a Carsu a aceder, transmitir e tratar dados do serviço ligado estritamente para as finalidades descritas na nossa Política de Privacidade.
• Âmbito. A integração com o Google Calendar utiliza o âmbito calendar.events.readonly. A Carsu importa eventos do calendário apenas para apresentação na página de agenda da Carsu; a Carsu não grava, altera nem elimina eventos no seu Google Calendar.
• Utilização Limitada. A utilização, pela Carsu, dos dados recebidos das API Google cumpre a Google API Services User Data Policy, incluindo os seus requisitos de Utilização Limitada (Limited Use). Não utilizamos os dados das API Google para publicidade, não os vendemos e não os utilizamos para treinar modelos de IA ou de aprendizagem automática. Consulte o §5a da Política de Privacidade para a declaração completa.
• Revogação. Pode revogar a autorização a qualquer momento nas definições da sua Conta Carsu ou diretamente nos controlos de conta do fornecedor terceiro (no caso da Google: myaccount.google.com/permissions). A Carsu cessará o acesso de imediato e eliminará os dados em cache de acordo com os prazos de conservação previstos na Política de Privacidade.
• Termos de Terceiros. A sua utilização de qualquer Integração de Terceiros está igualmente sujeita aos termos e políticas do fornecedor terceiro. A Carsu não é responsável por alterações, suspensão ou cessação das API de terceiros, nem por quaisquer custos ou limitações impostos pelo fornecedor terceiro.
• Exclusão de Responsabilidade por Falhas de Terceiros. As interrupções, erros, latência ou indisponibilidade de dados causados pelo fornecedor terceiro estão excluídos das obrigações de nível de serviço da Carsu nos termos da Secção 8.

5.5 Aplicação Móvel

• Licença e distribuição. A Aplicação Móvel é-lhe licenciada, e não vendida, nos termos da Secção 10.1 e é distribuída através das Lojas de Aplicações. O descarregamento e a utilização da Aplicação Móvel estão igualmente sujeitos aos termos da Loja de Aplicações. Quando os termos do operador da Loja de Aplicações o exijam (incluindo os termos mínimos do Licensed Application End User Licence Agreement da Apple), esses termos aplicam-se para além dos presentes Termos, e o operador da Loja de Aplicações é terceiro beneficiário da presente Secção 5.5, com o direito de a fazer valer contra si. O operador da Loja de Aplicações não tem qualquer obrigação de prestar manutenção ou suporte relativamente à Aplicação Móvel e não é responsável por qualquer reclamação a ela relativa.
• Permissões do dispositivo. A Aplicação Móvel pede acesso à câmara, à galeria de fotografias e às notificações apenas quando utiliza pela primeira vez uma funcionalidade que delas necessite. Pode recusar ou retirar posteriormente cada permissão nas definições do seu dispositivo; nesse caso, a funcionalidade correspondente ficará indisponível. A Aplicação Móvel não acede à sua localização, contactos, calendário nem microfone. O que a Aplicação Móvel recolhe está descrito no §5b da Política de Privacidade.
• Fotografias e outros conteúdos multimédia. As fotografias e outros conteúdos multimédia captados ou carregados através da Plataforma são dados seus nos termos da Secção 10.2. É responsável pelo que fotografa, por dispor de qualquer autorização necessária para o fotografar (incluindo quando uma pessoa esteja visível) e por informar os seus Consumidores Finais, na sua própria política de privacidade, de que podem ser tiradas e armazenadas fotografias do respetivo veículo e dos trabalhos realizados.
• Dispositivos partilhados. Quando um dispositivo for partilhado entre Membros, cada Membro deve terminar sessão quando acabar. Terminar sessão apaga os dados em cache e interrompe as notificações desse Membro nesse dispositivo.
• Atualizações e compatibilidade. A Carsu pode disponibilizar atualizações e pode exigir que instale uma atualização para continuar a utilizar a Aplicação Móvel. A Carsu suporta a versão principal atual e a imediatamente anterior do iOS e do Android; as versões mais antigas podem deixar de funcionar sem aviso prévio.
• Dependência das Lojas de Aplicações e das notificações push. A disponibilidade da Aplicação Móvel depende das Lojas de Aplicações, e a entrega das notificações push depende dos serviços de notificações da Apple e da Google. A remoção, o atraso ou a rejeição da Aplicação Móvel por um operador de Loja de Aplicações, bem como as interrupções dos serviços de notificações, estão excluídos das obrigações de nível de serviço da Carsu nos termos da Secção 8.
• Conformidade com o controlo das exportações. Declara que não se encontra num país sujeito a embargo da UE ou dos Estados Unidos, nem utilizará a Aplicação Móvel a partir de um tal país, e que não consta de nenhuma lista de pessoas ou entidades objeto de medidas restritivas da UE ou dos EUA.

5.6 Bens Armazenados (Hotel de Pneus)

A Plataforma permite-lhe registar os Bens Armazenados que guarda para os seus Consumidores Finais, incluindo a receção, a localização, o levantamento e a eliminação. Em relação aos Bens Armazenados:

• A guarda é sua, o contrato é seu. A relação de armazenamento existe exclusivamente entre si e o Consumidor Final. A Carsu não assume a guarda dos Bens Armazenados, não os segura e não aceita qualquer responsabilidade por eles. É responsável pelas condições de armazenamento que acorda com o Consumidor Final, incluindo preços, duração e o destino dos artigos não levantados.
• Eliminação de artigos não levantados. Quando registar que determinados Bens Armazenados não foram levantados, a Plataforma ajuda a documentar as suas tentativas de contacto e as suas condições de armazenamento antes de qualquer eliminação ou transferência de propriedade. A Carsu não decide se, nem quando, pode eliminar, vender ou converter Bens Armazenados; essa decisão, e a sua conformidade com a legislação aplicável (incluindo as obrigações em matéria de defesa do consumidor, de resíduos e do RENTRI, quando aplicáveis), cabem-lhe a si.
• Etiquetas e identificação. As etiquetas geradas pela Plataforma identificam os Bens Armazenados apenas através de uma referência de armazenamento e não constituem prova de propriedade.
• Pedidos de apagamento. Quando um Consumidor Final pedir o apagamento dos seus dados enquanto ainda guarda os respetivos Bens Armazenados, pode conservar o registo mínimo que associa os artigos a esse Consumidor Final até que os artigos sejam devolvidos ou legalmente eliminados; a Carsu prestará assistência na anonimização dos restantes dados (Anexo A, §A9).

6. Créditos Pré-pagos e Utilização

6.1 Modelo de Créditos Pré-pagos

A Carsu funciona num regime de créditos pré-pagos para os serviços de comunicação. Os Créditos têm de ser adquiridos antecipadamente para utilizar as funcionalidades de mensagens.

6.2 Contas sem Subscrição

A Carsu deixou de oferecer um nível de Subscrição gratuito. Uma Conta sem Subscrição (uma Conta sem Subscrição paga ativa, incluindo uma Conta cuja Subscrição tenha terminado) pode continuar a utilizar a Plataforma exclusivamente em regime de créditos pré-pagos, sujeita aos limites de utilização publicados nas Definições da sua Conta e sem acesso às funcionalidades dos níveis pagos. As mensagens enviadas a partir de uma Conta sem Subscrição são cobradas à tarifa de mensagens do nível Basic. Os Créditos adquiridos detidos por uma Conta sem Subscrição são válidos durante doze (12) meses a contar da data de aquisição ou, quando os Créditos tenham sido adquiridos durante uma Subscrição paga, a contar da data em que essa Subscrição terminou. Os Créditos não utilizados expiram automaticamente após esse período, sem reembolso.

6.3 Validade dos Créditos: Níveis Pagos

Para os Utilizadores do Nível Basic ou de qualquer outra Subscrição paga, os Créditos adquiridos não expiram enquanto a Subscrição se mantiver ativa e regularizada. Se uma Subscrição paga terminar (por qualquer motivo), a Conta passa a ser uma Conta sem Subscrição e os Créditos remanescentes ficam sujeitos à Secção 6.2.

6.4 Créditos de Teste

A Carsu pode atribuir aos novos Utilizadores Créditos de teste gratuitos para efeitos de experimentação. Os Créditos de teste:

• Expiram automaticamente três (3) meses após a sua atribuição;
• Podem ser revogados a qualquer momento se suspeitarmos de utilização abusiva ou de violação da nossa Política de Utilização Aceitável (Secção 11);
• Não têm valor monetário e são intransmissíveis.

7. Preços, Pagamento e Faturação

7.1 Preços

Os preços em vigor dos Créditos e dos níveis de Subscrição estão disponíveis no nosso website e nas Definições da sua Conta. Todos os preços excluem os impostos aplicáveis, salvo indicação em contrário.

7.2 Processamento de Pagamentos

Os pagamentos são processados através da Stripe. Ao efetuar uma compra, aceita os termos de serviço da Stripe. A Carsu não armazena os dados do seu cartão de crédito.

7.3 Faturação e IVA

As faturas são emitidas no momento da aquisição de Créditos ou do pagamento da Subscrição.

• Clientes neerlandeses (B2B) faturados pela Carsu B.V.: aplica-se o IVA neerlandês de 21%.
• Clientes italianos (B2B) faturados pela Carsu Italia S.r.l.: aplica-se o IVA italiano de 22%. As faturas são emitidas como faturas eletrónicas (fattura elettronica) através do Sistema di Interscambio; deve indicar a sua Partita IVA e o seu Codice Destinatario ou o seu endereço PEC.
• Outros clientes da UE (B2B): aplica-se o mecanismo de autoliquidação do IVA. As faturas incluem a menção «VAT reverse-charged». Deve indicar um número de IVA da UE válido.
• Clientes do Reino Unido (B2B): taxa zero de IVA, mediante a indicação de um número de IVA do Reino Unido válido.
• Clientes de fora da UE/Reino Unido: não é cobrado IVA; as obrigações fiscais locais são da responsabilidade do cliente.

7.4 Alterações de Preços

A Carsu pode ajustar os preços das Subscrições ou as tarifas dos Créditos mediante aviso prévio escrito de, pelo menos, 30 dias, enviado por e-mail. A continuação da utilização após a data de produção de efeitos constitui aceitação. Se não concordar com uma alteração de preço, pode pôr termo à sua Subscrição antes de os novos preços entrarem em vigor.

7.5 Política de Reembolso

Todas as aquisições de Créditos e todos os valores pagos pela Subscrição são não reembolsáveis, exceto quando a Carsu tenha incumprido de forma substancial as suas obrigações de serviço ao abrigo dos presentes Termos ou quando a legislação aplicável exija o contrário.

7.6 Faturas que Emite e Comunicação Fiscal

A Plataforma permite-lhe emitir faturas, recibos e documentos conexos aos seus Consumidores Finais e, quando o seu país exija faturação eletrónica ou comunicação fiscal e a Carsu a tenha ativado para esse país, transmite os dados exigidos à autoridade tributária competente (por exemplo, o Verifactu em Espanha, o Sistema di Interscambio em Itália, o myDATA e a Digital Client List na Grécia, o KSeF na Polónia), diretamente ou através de um intermediário certificado.

• O emitente é o Utilizador. Cada fatura ou documento fiscal gerado na Plataforma é emitido por si, em seu nome e com os seus identificadores fiscais. É responsável pela exatidão e integridade dos dados que introduz (incluindo os seus próprios dados de registo, as taxas de imposto e os identificadores dos seus clientes), pela correção fiscal do que fatura e pelo cumprimento das suas próprias obrigações declarativas, de conservação e de comunicação. A Carsu fornece as ferramentas e não presta aconselhamento fiscal.
• Transmissão. Quando a Carsu transmite dados a uma autoridade tributária em seu nome, fá-lo na qualidade de seu Subcontratante e segundo as suas instruções, que dá ao ativar a função e ao emitir o documento. A Carsu apresentar-lhe-á na Plataforma as respostas de validação, as rejeições e os erros, e não alterará o conteúdo de um documento que tenha emitido. Se uma transmissão falhar por motivo imputável à autoridade, ao intermediário ou aos dados que forneceu, continua a ser responsável por concluir a submissão dentro do prazo legal; a Carsu fornecerá a informação de que dispõe para o efeito.
• Verificação do número de IVA. Nas faturas transfronteiriças entre empresas, a Carsu verifica o número de IVA do cliente no serviço VIES da UE e conserva a resposta como prova para efeitos de auditoria. Um resultado do VIES comprova o registo na data da verificação e não constitui garantia do estatuto fiscal do seu cliente.
• Disponibilidade. Os sistemas das autoridades tributárias e dos intermediários são dependências de terceiros nos termos da Secção 8.4.

8. Níveis de Serviço

8.1 Disponibilidade da Plataforma

A Carsu envidará esforços comercialmente razoáveis para manter uma disponibilidade da Plataforma de, pelo menos, 99,5% por mês civil, medida excluindo os períodos de manutenção programada.

8.2 Manutenção Programada

Avisaremos com, pelo menos, 48 horas de antecedência sobre as manutenções planeadas que possam afetar a disponibilidade, exceto em casos de correções de segurança urgentes em que possa ser necessário um aviso mais curto.

8.3 Compensações

Se a disponibilidade da Plataforma for inferior a 99,5% num mês civil (excluindo a manutenção programada e os eventos de Força Maior), os Utilizadores afetados com Subscrições pagas podem solicitar um crédito de serviço proporcional ao período afetado. Os créditos de serviço são aplicados a faturas futuras e não constituem um reembolso em dinheiro. Os pedidos devem ser apresentados no prazo de 30 dias após o mês afetado.

8.4 Dependências de Terceiros

Os nossos serviços de comunicação, as Integrações de Terceiros, a Aplicação Móvel e a comunicação fiscal dependem de plataformas de terceiros (WhatsApp, Viber, gateways de SMS, fornecedores de envio de e-mail, API Google, as Lojas de Aplicações, os serviços de notificações da Apple e da Google, os sistemas das autoridades tributárias e os intermediários certificados de faturação eletrónica, etc.). A Carsu não é responsável por interrupções ou limitações impostas por estes fornecedores terceiros. Os períodos de indisponibilidade de terceiros são excluídos do cálculo do SLA.

9. Proteção de Dados

9.1 Política de Privacidade e Política de Cookies

A Carsu trata dados pessoais de acordo com a nossa Política de Privacidade, disponível em https://www.carsu.com/pt/politica-privacidade. Os cookies e tecnologias semelhantes utilizados no nosso website estão descritos na nossa Política de Cookies, disponível em https://www.carsu.com/pt/politica-cookies. Ao utilizar a Plataforma, reconhece que leu e compreendeu ambas.

9.2 Acordo de Tratamento de Dados

Quando a Carsu trata dados pessoais por sua conta (ou seja, dados dos Consumidores Finais), a Carsu atua como Subcontratante e o Utilizador atua como Responsável pelo Tratamento. O Acordo de Tratamento de Dados («DPA») constante do Anexo A dos presentes Termos, ou celebrado separadamente, rege esta relação de tratamento, nos termos do artigo 28.º do RGPD.

9.3 As Suas Obrigações enquanto Responsável pelo Tratamento

Enquanto Responsável pelo Tratamento dos dados dos Consumidores Finais tratados através da nossa Plataforma, é responsável por:

• Garantir que dispõe de um fundamento jurídico válido para o tratamento dos dados dos Consumidores Finais;
• Obter os consentimentos exigidos para as comunicações eletrónicas (cumprimento da Diretiva Privacidade Eletrónica);
• Responder aos pedidos de exercício de direitos dos titulares dos dados apresentados pelos seus Consumidores Finais (a Carsu prestará assistência mediante pedido);
• Notificar prontamente a Carsu de quaisquer pedidos de titulares dos dados que exijam a assistência da Carsu;
• Manter a sua própria política de privacidade, que abranja a utilização da nossa Plataforma para tratar dados dos Consumidores Finais, incluindo o widget de marcações no seu website, as fotografias de veículos e dos trabalhos realizados, os registos de Bens Armazenados e qualquer transmissão de dados de faturas às autoridades tributárias.

9.4 Portabilidade dos Dados e Direito de Mudança de Fornecedor

Nos termos do artigo 20.º do RGPD e do Regulamento Europeu dos Dados (Regulamento (UE) 2023/2854), tem direito à portabilidade dos dados e à mudança de fornecedor:

• Exportação autónoma: a Plataforma disponibiliza funções de exportação dos seus registos empresariais, quando disponíveis, e cada Membro pode descarregar uma cópia dos seus próprios dados pessoais, em formato JSON, nas Definições da Conta.
• Pedido de exportação manual: pode também solicitar uma exportação completa dos dados enviando um e-mail para legal@carsu.com. Os pedidos de exportação serão satisfeitos no prazo de 30 dias.
• Exportação após a cessação: pode solicitar a exportação dos dados no prazo de 12 meses após a cessação da sua Subscrição.
• Eliminação dos dados: os dados serão eliminados definitivamente no prazo de 60 dias após o termo do período de 12 meses para exportação após a cessação, salvo se a lei exigir uma conservação mais longa.
• Encerramento da Conta mediante pedido: quando o proprietário da Conta solicitar expressamente, por escrito, o encerramento da Conta, a Carsu encerrará a Conta no prazo de 30 dias, fornecerá, mediante pedido, uma exportação dos dados antes do encerramento e eliminará definitivamente os dados da Conta 30 dias após o encerramento, salvo se a lei exigir uma conservação mais longa. O cancelamento ou a não renovação de uma Subscrição não constitui um pedido de encerramento.
• Assistência na mudança de fornecedor: ao abrigo do Regulamento Europeu dos Dados, se pretender mudar para um prestador de serviços alternativo, a Carsu prestará assistência técnica razoável durante um período de 30 dias após o início do processo de mudança. Os eventuais encargos de mudança não excederão o custo diretamente suportado pela Carsu com a prestação dessa assistência.

A Carsu não imporá obstáculos contratuais, técnicos ou comerciais que impeçam a mudança de fornecedor ou a portabilidade dos dados para além do estritamente necessário para efeitos de segurança e de integridade dos dados.

9.5 Dados Provenientes de Integrações de Terceiros

Quando autoriza a Carsu a aceder a dados de um serviço de terceiros (por exemplo, o Google Calendar), a Carsu atua como Responsável pelo Tratamento desses dados com base no consentimento (art. 6.º, n.º 1, alínea a), do RGPD) e na execução do contrato (art. 6.º, n.º 1, alínea b), do RGPD), e trata-os estritamente de acordo com a Política de Privacidade e com os termos da API do fornecedor terceiro. Mantém a titularidade de todos esses dados. O Acordo de Tratamento de Dados do Anexo A não se aplica aos dados obtidos através de Integrações de Terceiros que autorize para seu próprio uso, porque esses dados não são dados de Consumidores Finais tratados pela Carsu por sua conta.

10. Propriedade Intelectual

10.1 Propriedade Intelectual da Carsu

Todos os conteúdos, software, tecnologia, designs, marcas e materiais da nossa Plataforma são propriedade da Carsu B.V. ou dos seus licenciantes e estão protegidos pela legislação em matéria de propriedade intelectual. É-lhe concedida uma licença limitada, não exclusiva, intransmissível e revogável para utilizar a Plataforma para o fim a que se destina durante a sua Subscrição.

10.2 Os Seus Dados e Análises Agregadas

Mantém todos os direitos sobre os dados que carrega na Plataforma, incluindo fotografias e outros conteúdos multimédia captados através da Aplicação Móvel ou carregados na web. Ao carregar dados, concede à Carsu uma licença limitada para alojar, armazenar, redimensionar, recodificar, transmitir e apresentar esses dados exclusivamente para efeitos da prestação dos Serviços, incluindo disponibilizá-los aos Membros da sua Conta e, quando decida enviá-los, aos seus Consumidores Finais.

A Carsu pode utilizar e partilhar dados anonimizados e agregados (que não permitem identificar o Utilizador, os seus Consumidores Finais nem transações individuais) para efeitos de melhoria do serviço, análises do setor, conhecimento do mercado, investigação e inovação. Esses dados são agregados a um nível que garante que nenhuma oficina, consumidor final ou transação individual pode ser identificado.

Como os dados são anonimizados de forma irreversível antes de qualquer utilização ou partilha externa, ficam fora do âmbito de aplicação do RGPD (Considerando 26). Os destinatários das análises agregadas estão vinculados por condições escritas que proíbem a reidentificação. Para mais pormenores, consulte a Secção 7.4 da nossa Política de Privacidade.

Os dados obtidos através das API Google estão excluídos desta utilização para análises agregadas, em conformidade com os compromissos de Utilização Limitada descritos na Política de Privacidade (§5a).

11. Política de Utilização Aceitável

Compromete-se a não utilizar a Plataforma para:

• Enviar mensagens de marketing não solicitadas (spam) ou mensagens sem o consentimento válido do destinatário;
• Transmitir conteúdos ilegais, difamatórios, ameaçadores, de assédio ou discriminatórios;
• Distribuir malware, vírus ou outro código nocivo;
• Tentar obter acesso não autorizado à Plataforma, a outras contas ou a sistemas ligados;
• Proceder a engenharia inversa, descompilar ou desmontar qualquer parte da Plataforma;
• Utilizar a Plataforma para qualquer fim que viole a legislação aplicável, incluindo as normas de proteção de dados e anti-spam;
• Fazer-se passar por qualquer pessoa ou entidade, ou declarar falsamente a sua ligação a uma pessoa ou entidade;
• Contornar limites de utilização, limites de frequência de pedidos ou outras restrições técnicas.

A Carsu reserva-se o direito de suspender ou cessar o acesso dos Utilizadores que violem a presente Política de Utilização Aceitável, nos termos da Secção 13.

12. Indemnização

Compromete-se a indemnizar e a isentar de responsabilidade a Carsu, os seus administradores, diretores, trabalhadores e agentes relativamente a quaisquer reclamações, danos, perdas, responsabilidades e despesas (incluindo honorários de advogados razoáveis) decorrentes de:

• Incumprimento, da sua parte, dos presentes Termos ou da Política de Utilização Aceitável;
• A sua utilização da Plataforma em violação da legislação aplicável;
• Mensagens enviadas através da Plataforma em seu nome, incluindo reclamações de Consumidores Finais ou de terceiros relativas ao consentimento, ao conteúdo ou à conformidade;
• Qualquer registo ou declaração de consentimento que introduza na Plataforma (individualmente ou em bloco) que seja falso, inexato ou que não possa ser comprovado;
• Faturas e documentos fiscais que emita através da Plataforma, incluindo reclamações de autoridades tributárias ou dos seus clientes relativas ao respetivo conteúdo, ao momento da emissão ou aos seus dados de registo;
• Fotografias ou conteúdos multimédia que capte ou carregue, e qualquer litígio com um Consumidor Final relativo a Bens Armazenados;
• Qualquer reclamação de que os dados que forneceu infringem direitos de propriedade intelectual ou de privacidade de terceiros.

13. Vigência, Suspensão e Cessação

13.1 Vigência

A sua Subscrição tem início na Data de Início e mantém-se pelo prazo acordado (mensal ou anual, consoante o caso), sendo renovada automaticamente salvo se for cancelada antes do fim do período em curso.

13.2 Cancelamento pelo Utilizador

Pode cancelar a sua Subscrição a qualquer momento nas definições da sua Conta. O cancelamento produz efeitos no fim do período de faturação em curso. Não são efetuados reembolsos proporcionais relativos a partes não utilizadas de um período de faturação.

13.2a Mudança para um Fornecedor Alternativo (Regulamento Europeu dos Dados)

Nos termos do Regulamento Europeu dos Dados, pode pôr termo à sua Subscrição com vista a mudar para um prestador de serviços alternativo, mediante aviso prévio escrito de, pelo menos, 2 meses, enviado para legal@carsu.com. Durante o período de aviso prévio e durante 30 dias após a cessação, a Carsu prestará assistência técnica razoável para facilitar a transição, incluindo a exportação dos dados em formatos normalizados (CSV, JSON) e a documentação das estruturas de dados. Os eventuais encargos de mudança limitar-se-ão aos custos diretamente suportados e serão comunicados antecipadamente.

13.3 Suspensão pela Carsu

A Carsu pode suspender de imediato o seu acesso à Plataforma se:

• Tivermos motivos razoáveis para crer que está a violar a Política de Utilização Aceitável;
• A sua Conta estiver envolvida numa suspeita de atividade fraudulenta;
• Tal for necessário para cumprir uma obrigação legal ou uma decisão judicial;
• O seu pagamento estiver em atraso há mais de 14 dias.

Comunicaremos qualquer suspensão e o respetivo motivo logo que possível. A suspensão não põe termo aos presentes Termos; restabeleceremos o acesso assim que a questão estiver resolvida.

13.4 Resolução por Justa Causa pela Carsu

A Carsu pode encerrar a sua Conta e pôr termo aos presentes Termos se:

• Um incumprimento substancial não for sanado no prazo de 30 dias após notificação escrita;
• Cometer violações repetidas da Política de Utilização Aceitável;
• Se tornar insolvente ou for objeto de um processo de insolvência.

13.5 Após a Cessação

Após a cessação:

• Todos os Créditos de teste não utilizados são perdidos de imediato;
• Os Créditos adquiridos ficam sujeitos às regras de expiração da Secção 6;
• Os acessos de Membros eliminados nos termos da Secção 4.5 seguem o prazo de reativação de 30 dias previsto nessa Secção, independentemente da Conta;
• Pode solicitar a exportação dos dados no prazo de 12 meses após a cessação (ver Secção 9.4);
• Decorrido o período de 12 meses após a cessação, todos os seus dados serão eliminados definitivamente, exceto quando a lei exija a sua conservação;
• Os dados obtidos através de Integrações de Terceiros (incluindo o Google Calendar) são eliminados no prazo de 30 dias após a cessação ou após a desativação anterior da ligação, de acordo com os prazos de conservação da Política de Privacidade.

14. Limitação de Responsabilidade

14.1 Exclusão de Danos Indiretos

Na máxima medida permitida pela legislação aplicável, nenhuma das partes será responsável por quaisquer danos indiretos, incidentais, especiais, consequenciais ou punitivos, incluindo, entre outros, lucros cessantes e perda de dados, de negócio ou de clientela, independentemente do fundamento da ação ou da teoria de responsabilidade.

14.2 Limite de Responsabilidade

A responsabilidade total agregada da Carsu ao abrigo dos presentes Termos ou em relação com os mesmos não excederá o montante total dos valores pagos pelo Utilizador à Carsu nos doze (12) meses imediatamente anteriores ao facto que deu origem à reclamação.

14.3 Exceções

Nada nos presentes Termos exclui ou limita a responsabilidade por:

• Morte ou danos pessoais causados por negligência;
• Fraude ou declarações falsas fraudulentas;
• Qualquer responsabilidade que não possa ser excluída ou limitada nos termos da legislação aplicável, incluindo as obrigações decorrentes do RGPD.

15. Força Maior

Nenhuma das partes será responsável por qualquer falha ou atraso no cumprimento das suas obrigações ao abrigo dos presentes Termos quando essa falha ou atraso resulte de acontecimentos fora do seu controlo razoável, incluindo, entre outros: catástrofes naturais, pandemias, atos de autoridades públicas, guerra, terrorismo, falhas de energia, interrupções da internet, falhas de plataformas de terceiros (WhatsApp, Viber, gateways de SMS, Stripe, API Google, as Lojas de Aplicações, os serviços de notificações da Apple e da Google, os sistemas das autoridades tributárias e os intermediários de faturação eletrónica) e ciberataques.

A parte afetada deve notificar prontamente a outra parte e envidar esforços razoáveis para atenuar o impacto. Se um evento de Força Maior se prolongar por mais de 60 dias, qualquer das partes pode pôr termo aos Serviços afetados mediante notificação escrita.

16. Garantias e Exclusões de Garantia

16.1 Garantias da Carsu

A Carsu garante que:

• A Plataforma funcionará substancialmente de acordo com a respetiva documentação;
• Os Serviços serão prestados com competência e diligência razoáveis;
• A Carsu cumprirá a legislação aplicável em matéria de proteção de dados no seu papel de Responsável pelo Tratamento ou de Subcontratante.

16.2 Segurança e Divulgação de Vulnerabilidades

A Carsu mantém uma política de divulgação responsável de vulnerabilidades, em conformidade com o Regulamento de Ciber-Resiliência e com as boas práticas do setor. Os investigadores de segurança e os Utilizadores podem comunicar vulnerabilidades através do nosso ficheiro security.txt em https://www.carsu.com/.well-known/security.txt ou por e-mail para security@carsu.com. A Carsu compromete-se a acusar a receção das comunicações no prazo de 5 dias úteis e a indicar um prazo de resolução no prazo de 30 dias.

16.3 Exclusão de Garantias

Salvo o expressamente previsto nos presentes Termos, a Plataforma é fornecida «tal como está» e «conforme disponível». A Carsu não presta quaisquer garantias adicionais, expressas ou implícitas, incluindo garantias de comerciabilidade, de adequação a um fim específico ou de não violação de direitos de terceiros. A Carsu não garante que a Plataforma funcione sem interrupções ou sem erros, nem que todos os defeitos sejam corrigidos.

17. Lei Aplicável e Resolução de Litígios

17.1 Lei Aplicável

Os presentes Termos regem-se e são interpretados de acordo com a lei dos Países Baixos, sem atender às normas de conflitos de leis.

17.2 Resolução de Litígios

As partes procurarão, em primeiro lugar, resolver qualquer litígio através de negociação de boa-fé durante um período de 30 dias. Na falta de resolução, os litígios serão submetidos à jurisdição exclusiva dos tribunais competentes de Amesterdão, nos Países Baixos.

17.3 Reclamações junto das Autoridades de Controlo

Nada nos presentes Termos impede o Utilizador de exercer os seus direitos ao abrigo do RGPD ou de apresentar reclamação junto da autoridade de controlo competente (consulte a nossa Política de Privacidade para mais pormenores).

18. Disposições Gerais

18.1 Acordo Integral

Os presentes Termos, juntamente com a Política de Privacidade, a Política de Cookies e qualquer formulário de encomenda ou DPA aplicável, constituem o acordo integral entre o Utilizador e a Carsu relativamente à utilização da Plataforma. Substituem todos os acordos, declarações e entendimentos anteriores.

18.2 Divisibilidade

Se qualquer disposição dos presentes Termos for considerada inválida ou inexequível, as restantes disposições manter-se-ão plenamente em vigor. A disposição inválida será modificada na medida mínima necessária para a tornar válida e exequível.

18.3 Cessão

Não pode ceder nem transmitir os presentes Termos sem o consentimento prévio por escrito da Carsu. A Carsu pode ceder os presentes Termos no âmbito de uma fusão, aquisição, reorganização ou venda da quase totalidade dos seus ativos, desde que o cessionário aceite ficar vinculado pelos presentes Termos.

18.4 Renúncia

A falta ou o atraso de qualquer das partes no exercício de um direito ao abrigo dos presentes Termos não constitui renúncia a esse direito.

18.5 Notificações

As notificações à Carsu devem ser enviadas para legal@carsu.com ou por correio para a morada da nossa sede. As notificações ao Utilizador serão enviadas para o endereço de e-mail associado à sua Conta. Considera-se que as notificações são recebidas no momento da entrega (e-mail) ou 5 dias úteis após a expedição (correio).

18.6 Alterações

A Carsu pode alterar os presentes Termos mediante aviso prévio escrito de, pelo menos, 30 dias, por e-mail ou por notificação na Plataforma. As alterações substanciais serão assinaladas. A continuação da utilização após a data de produção de efeitos constitui aceitação. Se não concordar com uma alteração, pode pôr termo à sua Subscrição antes de a alteração produzir efeitos.

19. Contacte-nos

Questões jurídicas: legal@carsu.com

Questões gerais: hello@carsu.com

Encarregado da Proteção de Dados: privacy@carsu.com

Questões de segurança: security@carsu.com

Morada postal: Carsu B.V., Harderwijkerweg 145, 3852 AB Ermelo, Países Baixos

Ao utilizar a nossa Plataforma, reconhece que leu e compreendeu os presentes Termos e Condições e que aceita ficar vinculado por eles.

ANEXO A

ACORDO DE TRATAMENTO DE DADOS

O presente Acordo de Tratamento de Dados («DPA») faz parte integrante dos Termos e Condições da Carsu («Contrato») celebrados entre a entidade Carsu que é a contraparte contratual do Utilizador nos termos da Secção 1 do Contrato, ou seja, a Carsu B.V. ou a Carsu Italia S.r.l. («Subcontratante»), e o Utilizador («Responsável pelo Tratamento»), e rege o tratamento de dados pessoais pelo Subcontratante por conta do Responsável pelo Tratamento no âmbito dos Serviços.

O presente DPA é celebrado nos termos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 («RGPD») e, quando aplicável, do Regulamento Geral sobre a Proteção de Dados do Reino Unido («RGPD do Reino Unido»).

A1. Definições

Os termos não definidos no presente DPA têm o significado que lhes é atribuído no Contrato e no RGPD. No presente DPA:

• «Dados Pessoais do Responsável pelo Tratamento» designa os dados pessoais que o Subcontratante trata por conta do Responsável pelo Tratamento no âmbito dos Serviços.
• «Legislação de Proteção de Dados» designa o RGPD, o RGPD do Reino Unido, a Diretiva Privacidade Eletrónica 2002/58/CE, o Codice Privacy italiano (D.Lgs. 196/2003, na sua redação atual), a UAVG neerlandesa e qualquer outra legislação aplicável em matéria de proteção de dados.
• «Subcontratante Ulterior» designa qualquer terceiro contratado pelo Subcontratante para tratar Dados Pessoais do Responsável pelo Tratamento por conta do Responsável pelo Tratamento.

A2. Objeto e Finalidade do Tratamento

A2.1 Objeto

O Subcontratante trata os Dados Pessoais do Responsável pelo Tratamento exclusivamente para efeitos da prestação dos Serviços ao abrigo do Contrato, incluindo a gestão da oficina, as comunicações com os clientes (WhatsApp, SMS, Viber, e-mail), as marcações online, o armazenamento de fotografias e de outros conteúdos multimédia, os registos de Bens Armazenados, a faturação e a transmissão de dados de faturas às autoridades tributárias, quando ativada (Secção 7.6), o processamento de pagamentos e o apoio ao cliente.

Instrução de transmissão de dados fiscais. Ao ativar a comunicação fiscal para o seu país e ao emitir um documento, o Responsável pelo Tratamento instrui o Subcontratante a transmitir os dados exigidos pelo regime nacional aplicável à autoridade tributária competente, diretamente ou através de um intermediário certificado de faturação eletrónica estabelecido na UE (lista disponível mediante pedido para privacy@carsu.com).

Exclusão: dados de Integrações de Terceiros. Os dados a que o Responsável pelo Tratamento autoriza a Carsu a aceder a partir de um serviço de terceiros para uso próprio do Responsável pelo Tratamento (por exemplo, eventos do Google Calendar da equipa do Responsável pelo Tratamento) não são Dados Pessoais do Responsável pelo Tratamento na aceção do presente DPA. Esses dados são tratados pela Carsu na qualidade de Responsável pelo Tratamento nos termos do Contrato (Secção 9.5) e da Política de Privacidade.

A2.2 Duração

O tratamento mantém-se durante a vigência do Contrato e pelo período adicional necessário para cumprir as obrigações posteriores à cessação (exportação e eliminação de dados) previstas no Contrato.

A2.3 Categorias de Titulares dos Dados

• Consumidores Finais (clientes do Responsável pelo Tratamento/oficina);
• Trabalhadores e pessoal do Responsável pelo Tratamento (quando relevante para a utilização da plataforma).

A2.4 Tipos de Dados Pessoais

• Dados de contacto (nomes, números de telefone, endereços de e-mail);
• Dados do veículo (matrículas, marca, modelo, tipo);
• Registos de serviços e de manutenção;
• Dados de marcações;
• Conteúdo das comunicações (mensagens enviadas através da Plataforma);
• Fotografias e outros conteúdos multimédia de veículos e dos trabalhos realizados, e de qualquer pessoa que neles apareça acidentalmente;
• Registos de Bens Armazenados (artigos guardados, local de armazenamento, receções e levantamentos, tentativas de contacto);
• Dados de faturação e fiscais (nomes, moradas, identificadores fiscais, matrículas de veículos), conforme exigido pelo regime nacional aplicável;
• Identificadores de transações de pagamento (os dados dos cartões são tratados pela Stripe e não são conservados pela Carsu).

A2.5 Natureza do Tratamento

Recolha, armazenamento, consulta, utilização, transmissão (mensagens), organização, estruturação e apagamento dos Dados Pessoais do Responsável pelo Tratamento, na medida do necessário para prestar os Serviços.

A2.6 Dados Anonimizados e Agregados

O Subcontratante pode tratar Dados Pessoais do Responsável pelo Tratamento para gerar análises anonimizadas e agregadas destinadas a partilha com terceiros. Esse tratamento só ocorre depois de os dados terem sido anonimizados de forma irreversível e agregados a um nível que garanta que nenhuma oficina, consumidor final ou transação individual possa ser identificado ou reconstituído por engenharia inversa a partir do resultado.

Uma vez anonimizados de forma irreversível, os dados resultantes ficam fora do âmbito de aplicação do RGPD (Considerando 26) e do presente DPA. Este tratamento tem por fundamento o interesse legítimo do Subcontratante (art. 6.º, n.º 1, alínea f)) e não alarga nem modifica as finalidades de prestação do serviço enumeradas no ponto A2.1, constituindo antes uma utilização distinta dos dados subjacentes após a anonimização. Os destinatários estão vinculados por condições escritas que proíbem a reidentificação.

A3. Obrigações do Subcontratante

O Subcontratante deve:

• Tratar os Dados Pessoais do Responsável pelo Tratamento apenas mediante instruções documentadas do Responsável pelo Tratamento, incluindo no que respeita às transferências de dados pessoais para fora do EEE ou do Reino Unido, salvo se for obrigado a fazê-lo pelo direito da UE ou de um Estado-Membro (caso em que o Subcontratante informará o Responsável pelo Tratamento desse requisito legal antes do tratamento, salvo se tal for proibido);
• Assegurar que as pessoas autorizadas a tratar os Dados Pessoais do Responsável pelo Tratamento assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada;
• Aplicar medidas técnicas e organizativas adequadas para assegurar um nível de segurança adequado ao risco, incluindo, consoante o caso: a pseudonimização e a cifragem dos dados pessoais, a capacidade de assegurar a confidencialidade, integridade, disponibilidade e resiliência permanentes dos sistemas de tratamento, a capacidade de restabelecer atempadamente o acesso aos dados pessoais na sequência de um incidente, e um processo para testar e avaliar regularmente a eficácia dessas medidas;
• Respeitar as condições de contratação de Subcontratantes Ulteriores previstas na Secção A5;
• Tendo em conta a natureza do tratamento, prestar assistência ao Responsável pelo Tratamento através de medidas técnicas e organizativas adequadas, na medida do possível, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos dos titulares dos dados;
• Prestar assistência ao Responsável pelo Tratamento no cumprimento das obrigações de notificação de violações de dados (artigos 33.º e 34.º do RGPD), das avaliações de impacto sobre a proteção de dados (artigo 35.º do RGPD) e da consulta prévia às autoridades de controlo (artigo 36.º do RGPD), tendo em conta a natureza do tratamento e a informação ao dispor do Subcontratante;
• Consoante a escolha do Responsável pelo Tratamento, apagar ou devolver-lhe todos os Dados Pessoais do Responsável pelo Tratamento depois de concluída a prestação dos Serviços, e apagar as cópias existentes, salvo se o direito da UE ou de um Estado-Membro exigir a conservação dos dados pessoais;
• Disponibilizar ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento do presente DPA e permitir e contribuir para as auditorias, incluindo as inspeções, conduzidas pelo Responsável pelo Tratamento ou por um auditor por este mandatado.

A4. Obrigações do Responsável pelo Tratamento

O Responsável pelo Tratamento deve:

• Assegurar que dispõe de um fundamento jurídico válido, ao abrigo da Legislação de Proteção de Dados, para o tratamento dos Dados Pessoais do Responsável pelo Tratamento, incluindo a obtenção de todos os consentimentos necessários dos Titulares dos Dados, quando exigido;
• Fornecer ao Subcontratante instruções de tratamento documentadas;
• Ser responsável pela exatidão, qualidade e licitude dos Dados Pessoais do Responsável pelo Tratamento fornecidos ao Subcontratante;
• Cumprir as suas obrigações ao abrigo da Legislação de Proteção de Dados, incluindo manter a sua própria política de privacidade, responder aos pedidos dos titulares dos dados (com a assistência do Subcontratante) e notificar as autoridades de controlo das violações de dados, quando exigido;
• Assegurar que as mensagens enviadas aos Consumidores Finais através da Plataforma cumprem a Diretiva Privacidade Eletrónica e a legislação nacional aplicável em matéria de comunicações eletrónicas, incluindo a obtenção de consentimento válido para mensagens de marketing.
• Ser responsável pela exatidão dos registos e declarações de consentimento introduzidos na Plataforma (individualmente ou em bloco); esses registos constituem instruções documentadas ao Subcontratante para tratar os Titulares dos Dados em causa como tendo dado o seu consentimento para as finalidades registadas.

A5. Subcontratantes Ulteriores

A5.1 Autorização Geral

O Responsável pelo Tratamento concede ao Subcontratante uma autorização geral por escrito para contratar Subcontratantes Ulteriores para o tratamento dos Dados Pessoais do Responsável pelo Tratamento, sob reserva das condições previstas na presente Secção A5.

A5.2 Subcontratantes Ulteriores Atuais

A lista atual de Subcontratantes Ulteriores consta da Secção 7.1 da Política de Privacidade (disponível em https://www.carsu.com/privacy). À data do presente DPA, os Subcontratantes Ulteriores aprovados são:

A5.3 Alterações dos Subcontratantes Ulteriores

O Subcontratante notificará o Responsável pelo Tratamento, por e-mail ou por notificação na Plataforma, com pelo menos 30 dias de antecedência, antes de contratar um novo Subcontratante Ulterior ou de substituir um existente. Os Responsáveis pelo Tratamento com Subscrições pagas podem subscrever notificações automáticas de alteração de subcontratantes ulteriores nas definições da sua Conta.

A notificação incluirá a identidade e a localização do Subcontratante Ulterior proposto, a natureza do tratamento e as categorias de dados pessoais envolvidas. O Responsável pelo Tratamento pode opor-se à alteração no prazo de 14 dias a contar da receção da notificação, apresentando por escrito os seus motivos relacionados com a proteção de dados. Se o Responsável pelo Tratamento se opuser e as partes não conseguirem resolver a oposição no prazo de 30 dias através de um diálogo de boa-fé, o Responsável pelo Tratamento pode pôr termo aos Serviços afetados sem penalização.

A5.4 Obrigações dos Subcontratantes Ulteriores

O Subcontratante assegurará que cada Subcontratante Ulterior está vinculado a obrigações de proteção de dados não menos exigentes do que as previstas no presente DPA, incluindo, em especial, a apresentação de garantias suficientes de execução de medidas técnicas e organizativas adequadas. O Subcontratante continua a ser plenamente responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações de cada Subcontratante Ulterior.

A6. Transferências Internacionais

O Subcontratante não transferirá Dados Pessoais do Responsável pelo Tratamento para fora do EEE ou do Reino Unido, salvo se:

• A transferência se destinar a um país reconhecido pela Comissão Europeia ou pelo Secretário de Estado do Reino Unido (consoante o caso) como assegurando um nível adequado de proteção de dados; ou
• Existirem garantias adequadas, incluindo as Cláusulas Contratuais-Tipo (CCT) adotadas pela Comissão Europeia (Decisão 2021/914) ou, no caso de transferências a partir do Reino Unido, o UK International Data Transfer Agreement (IDTA) ou o UK Addendum às CCT da UE, complementadas por medidas técnicas adicionais quando tal seja exigido por uma avaliação de impacto da transferência.

Quando sejam efetuadas transferências para os Estados Unidos, o Subcontratante baseia-se nas CCT (ou no IDTA do Reino Unido, quando aplicável), complementadas por medidas técnicas que incluem a cifragem em trânsito (TLS 1.2+) e em repouso (AES-256), controlos de acesso e restrições contratuais relativas a pedidos de acesso por parte de autoridades públicas. O Subcontratante realizará e manterá atualizada uma avaliação de impacto da transferência para cada transferência para um país não abrangido por uma decisão de adequação, e disponibilizá-la-á ao Responsável pelo Tratamento mediante pedido.

A7. Segurança dos Dados

Sem prejuízo da Secção A3, o Subcontratante aplica e mantém as seguintes medidas de segurança mínimas:

• Cifragem dos dados pessoais em trânsito (TLS 1.2 ou superior) e em repouso (AES-256);
• Controlos de acesso baseados em funções, segundo o princípio do privilégio mínimo;
• Autenticação multifator para todos os acessos administrativos e à plataforma;
• Avaliações de vulnerabilidades e testes de intrusão regulares;
• Registo e monitorização dos acessos aos Dados Pessoais do Responsável pelo Tratamento;
• Procedimentos de resposta a incidentes com circuitos de escalonamento definidos;
• Formação do pessoal em proteção de dados e segurança da informação, realizada pelo menos uma vez por ano;
• Procedimentos de continuidade de negócio e de recuperação de desastres.

A8. Notificação de Violações de Dados

O Subcontratante notificará o Responsável pelo Tratamento sem demora injustificada (e, em qualquer caso, no prazo de 72 horas, em conformidade com o artigo 33.º do RGPD) após ter conhecimento de uma violação de dados pessoais que afete Dados Pessoais do Responsável pelo Tratamento. Essa notificação incluirá:

• A descrição da natureza da violação, incluindo, se possível, as categorias e o número aproximado de titulares de dados e de registos afetados;
• O nome e os contactos do Encarregado da Proteção de Dados do Subcontratante ou de outro ponto de contacto;
• A descrição das consequências prováveis da violação;
• A descrição das medidas adotadas ou propostas para fazer face à violação, incluindo medidas para atenuar os seus eventuais efeitos adversos.

O Subcontratante cooperará com o Responsável pelo Tratamento e adotará medidas comercialmente razoáveis para prestar assistência na investigação, atenuação e correção de cada violação.

A9. Direitos dos Titulares dos Dados

O Subcontratante notificará o Responsável pelo Tratamento prontamente (e, em qualquer caso, no prazo de 5 dias úteis) caso receba um pedido de um titular dos dados para exercer qualquer dos seus direitos ao abrigo da Legislação de Proteção de Dados relativamente a Dados Pessoais do Responsável pelo Tratamento. O Subcontratante não responderá diretamente ao titular dos dados, salvo se autorizado pelo Responsável pelo Tratamento ou se a lei o exigir.

O Subcontratante prestará assistência razoável ao Responsável pelo Tratamento no cumprimento das suas obrigações de resposta aos pedidos dos titulares dos dados, tendo em conta a natureza do tratamento e a informação ao dispor do Subcontratante.

Apagamento enquanto os Bens Armazenados estão guardados. Quando um Titular dos Dados solicitar o apagamento e o Responsável pelo Tratamento ainda guardar Bens Armazenados desse Titular dos Dados, o Subcontratante, mediante instrução do Responsável pelo Tratamento, anonimizará todos os Dados Pessoais do Responsável pelo Tratamento relativos ao Titular dos Dados, exceto o registo mínimo necessário para associar os Bens Armazenados ao seu proprietário até que os artigos sejam devolvidos ou legalmente eliminados, após o que esse registo será igualmente anonimizado.

A10. Direitos de Auditoria

O Subcontratante disponibilizará ao Responsável pelo Tratamento, mediante pedido razoável (e não mais do que uma vez por ano civil, salvo se exigido por uma autoridade de controlo ou por uma violação de dados), todas as informações razoavelmente necessárias para demonstrar o cumprimento do presente DPA.

O Subcontratante permitirá e contribuirá para as auditorias, incluindo as inspeções, conduzidas pelo Responsável pelo Tratamento ou por um auditor independente por este mandatado, sob reserva de:

• Aviso prévio escrito de, pelo menos, 30 dias (salvo se exigido por uma autoridade de controlo);
• Âmbito e duração razoáveis;
• Obrigações de confidencialidade relativas às informações reservadas do Subcontratante;
• Cumprimento, pelo auditor, das políticas de segurança aplicáveis.

Se uma auditoria revelar uma deficiência substancial, o Subcontratante corrigi-la-á num prazo razoável acordado com o Responsável pelo Tratamento, a expensas do Subcontratante.

A11. Eliminação e Devolução dos Dados

Após a cessação ou o termo do Contrato, o Subcontratante deverá, à escolha do Responsável pelo Tratamento:

• Devolver todos os Dados Pessoais do Responsável pelo Tratamento num formato estruturado, de uso corrente e de leitura automática (CSV ou JSON), no prazo de 30 dias a contar do pedido; ou
• Eliminar de forma segura todos os Dados Pessoais do Responsável pelo Tratamento no prazo de 60 dias após o termo do período de 12 meses para exportação de dados após a cessação previsto no Contrato.
• Quando o Responsável pelo Tratamento der instruções expressas para o encerramento da Conta, eliminar, em vez disso, de forma segura todos os Dados Pessoais do Responsável pelo Tratamento 30 dias após o encerramento.

O Subcontratante certificará a eliminação por escrito, mediante pedido do Responsável pelo Tratamento. O Subcontratante só pode conservar Dados Pessoais do Responsável pelo Tratamento na medida exigida pela legislação aplicável e informará o Responsável pelo Tratamento de qualquer obrigação de conservação dessa natureza, incluindo o fundamento jurídico e a duração da conservação exigida.

A12. Responsabilidade

A responsabilidade de cada parte ao abrigo do presente DPA está sujeita às limitações de responsabilidade previstas no Contrato (Secção 14). Nada no presente DPA exclui ou limita a responsabilidade de qualquer das partes por obrigações decorrentes da Legislação de Proteção de Dados que não possam ser limitadas por contrato.

A13. Lei Aplicável

O presente DPA rege-se pela lei dos Países Baixos, em conformidade com o Contrato. Nas matérias relativas à Legislação de Proteção de Dados, é competente a autoridade de controlo do estabelecimento do Responsável pelo Tratamento (ou, caso o Responsável pelo Tratamento esteja estabelecido fora do EEE, a Autoriteit Persoonsgegevens neerlandesa, no caso da Carsu B.V., e o Garante per la protezione dei dati personali italiano, no caso da Carsu Italia S.r.l.).

A14. Prevalência

Em caso de conflito entre o presente DPA e o Contrato, prevalecem os termos do presente DPA no que respeita ao tratamento dos Dados Pessoais do Responsável pelo Tratamento. Em todos os outros aspetos, prevalece o Contrato.

O presente DPA produz efeitos na data em que o Responsável pelo Tratamento aceita o Contrato e mantém-se em vigor enquanto o Subcontratante tratar Dados Pessoais do Responsável pelo Tratamento.