Legal
Data Processing Agreement
Lemu Lab, marca Lemu Work
Versão 1.5 · Última atualização: 20 de outubro de 2026
1. Âmbito e Objeto
O presente Acordo de Tratamento de Dados (doravante "DPA") aplica-se ao tratamento de dados pessoais efetuado por subcontratantes (processadores) em nome e por conta de Lemu Lab, no âmbito da prestação do serviço SaaS Lemu Work.
Este DPA complementa os Termos e Condições de Utilização e a Política de Privacidade da Lemu Work, estabelecendo as obrigações e garantias aplicáveis aos processadores de dados nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD).
2. Definições
Para efeitos do presente DPA, aplicam-se as definições do artigo 4.º do RGPD, nomeadamente:
- "Controlador": Lemu Lab, a entidade que determina as finalidades e meios do tratamento de dados pessoais.
- "Processador": Entidade que trata dados pessoais em nome do Controlador.
- "Dados Pessoais": Qualquer informação relativa a uma pessoa singular identificada ou identificável, incluindo dados de carreira, contactos e conteúdo de CV.
- "Tratamento": Qualquer operação efetuada sobre dados pessoais, incluindo recolha, armazenamento, consulta, utilização, divulgação ou eliminação.
3. Lista de Processadores e Finalidades
A Lemu Work recorre aos seguintes processadores, todos vinculados por DPA individual ou cláusulas contratuais tipo:
| Processador | Função | Dados Tratados | Localização | Base de Transferência |
|---|---|---|---|---|
| Stripe, Inc. | Processamento de pagamentos e faturação | Nome, email, identificador de cliente Stripe, dados de subscrição, histórico de faturação. Nota: Não armazenamos dados de cartão. | EUA | SCCs (módulo 2) |
| Zhipu AI (Z.ai) | Geração de conteúdo por IA (adaptação de CV, scoring, interview prep) | Conteúdo de CV e descrições de vagas enviados pelo utilizador para processamento. Dados enviados apenas quando o utilizador aciona a funcionalidade. | EUA / China | SCCs + Avaliação de impacto (DPIA) |
| Supabase, Inc. | Autenticação, base de dados e sincronização | Email, nome, hash de password, dados de carreira sincronizados, metadados de sessão. | UE (região do projeto: eu-west-1) | UE (adequação intragrupo) |
| Neon, Inc. | Base de dados Postgres | Identificadores de conta, plano, dados de carreira sincronizados, eventos de produto, telemetria first-party. | UE (eu-west-2) | UE (adequação intragrupo) |
| Cloudflare, Inc. | CDN, DNS, edge computing, segurança | Logs de acesso, tráfego de rede, endereços IP (anonimizados quando configurado). | Global (rede edge) | SCCs + DPA padrão Cloudflare |
| Resend, Inc. | Entrega de emails transacionais | Email, nome, resumo de vagas e atividade para digest e alertas. | EUA | SCCs (módulo 2) |
| Google LLC | Autenticação OAuth e, se ativado pelo utilizador, leitura de Gmail | Email de login; metadados de emails de candidatura (apenas com opt-in explícito do utilizador). | EUA | SCCs (módulo 2) |
4. Obrigações do Controlador
Lemu Lab, enquanto Controlador, compromete-se a:
1. Documentar e manter registos do tratamento nos termos do art. 30.º do RGPD. 2. Garantir a licitude do tratamento, incluindo obtenção de bases legais adequadas junto dos titulares de dados. 3. Informar os processadores de quaisquer restrições ou requisitos específicos aplicáveis ao tratamento. 4. Responder a pedidos dos titulares de dados (acesso, retificação, apagamento, portabilidade, limitação, oposição) e coordenar com os processadores quando necessário. 5. Realizar Avaliações de Impacto (DPIA) quando o tratamento apresenta risco elevado, nomeadamente no uso de IA para scoring de perfis. 6. Notificar violações à autoridade de controlo no prazo de 72 horas, quando aplicável.
5. Obrigações dos Processadores
Cada Processador compromete-se a:
5.1 Tratamento apenas por instrução documentada
Tratar dados pessoais apenas por instrução documentada do Controlador, incluindo transferências para países terceiros, salvo quando exigido por lei da União ou do Estado-Membro.
5.2 Confidencialidade
Garantir que as pessoas autorizadas a tratar dados pessoais se comprometam com a confidencialidade (art. 28.º, n.º 3, al. b) do RGPD).
5.3 Medidas de segurança
Implementar medidas técnicas e organizacionais adequadas para garantir um nível de segurança adequado ao risco, incluindo:
- Encriptação de dados em trânsito (TLS 1.3) e em repouso (AES-256)
- Acesso restrito com autenticação multifator
- Segmentação de redes e isolamento de ambientes
- Monitorização e deteção de incidentes
- Planos de recuperação de desastres
5.4 Subcontratação (Subprocessadores)
Não contratar outros processadores (subprocessadores) sem autorização prévia e por escrito do Controlador. Quando autorizado, o subprocessador assume obrigações equivalentes por contrato.
5.5 Assistência ao Controlador
Prestar assistência ao Controlador para garantir o cumprimento das obrigações relativas:
- Ao exercício dos direitos dos titulares (art. 32.º a 36.º do RGPD)
- À segurança do tratamento (art. 32.º do RGPD)
- Às notificações de violações (art. 33.º e 34.º do RGPD)
- Às Avaliações de Impacto (art. 35.º do RGPD)
5.6 Eliminação ou devolução de dados
Após o termo da prestação de serviços, eliminar ou devolver todos os dados pessoais ao Controlador, conforme instrução, e eliminar as cópias existentes, salvo quando a conservação for exigida por lei da União ou do Estado-Membro.
5.7 Informação e auditoria
Disponibilizar ao Controlador toda a informação necessária para demonstrar o cumprimento das obrigações do art. 28.º do RGPD e permitir e contribuir para auditorias, incluindo inspeções, realizadas pelo Controlador ou por auditor por ele mandatado.
6. Transferências Internacionais
6.1 Para o Espaço Económico Europeu (EEE)
Dados tratados por processadores localizados no EEE (Supabase UE, Neon UE) beneficiam da adequação intracomunitária. Não são necessárias salvaguardas adicionais.
6.2 Para fora do EEE
Quando os dados são transferidos para fora do EEE (Stripe EUA, Resend EUA, Zhipu AI EUA/China, Google EUA), aplicam-se:
| Mecanismo | Quando se Aplica |
|---|---|
| Cláusulas Contratuais Tipo (SCCs) | Transferências para EUA (Stripe, Resend, Google). Módulo 2 (Controlador → Processador) e Módulo 3 (Processador → Subprocessador). |
| Avaliação de Impacto (DPIA) | Transferências para jurisdições sem decisão de adequação, incluindo Zhipu AI. A Lemu Work realizou DPIA documentada para o processamento por IA. |
| Medidas Complementares | Anonimização de dados quando possível; limitação de dados enviados ao estritamente necessário; cláusulas de não utilização para treino de modelos. |
6.3 Nota sobre Zhipu AI (Z.ai)
A Zhipu AI opera a partir de infraestrutura nos EUA e China. A Lemu Work:
- Envia apenas o conteúdo estritamente necessário para a funcionalidade acionada
- Não partilha dados para treino de modelos de terceiros
- Aplica DPIA documentada para este fluxo
- Monitoriza alterações à política de privacidade da Zhipu AI
- Reserva-se o direito de substituir o provider se as garantias de proteção de dados forem comprometidas
7. Notificação de Violações de Dados
7.1 Prazo
O Processador notifica o Controlador sem demora injustificada e, sempre que possível, no prazo de 24 horas após ter tomado conhecimento de uma violação de dados pessoais.
7.2 Conteúdo da notificação
A notificação inclui, quando possível:
- Descrição da natureza da violação
- Categorias e número aproximado de titulares afetados
- Categorias e número aproximado de registos afetados
- Medidas tomadas ou propostas para resolver a violação
- Contacto para mais informações
7.3 Notificação às autoridades
O Controlador é responsável por notificar a autoridade de controlo (CNPD/ANPD) no prazo de 72 horas, quando aplicável.
8. Eliminação de Dados e Rescisão
8.1 Prazos de conservação
Cada Processador conserva os dados apenas pelo período necessário à finalidade do tratamento, conforme definido na Política de Privacidade (secção 6).
8.2 Rescisão
Em caso de rescisão do contrato de prestação de serviços:
- O Processador elimina ou devolve todos os dados pessoais ao Controlador, conforme instrução
- O Processador elimina cópias existentes, salvo obrigação legal de conservação
- O Processador comprova a eliminação mediante certificado ou documento equivalente
9. Auditoria e Verificação
9.1 Direito de auditoria
O Controlador tem o direito de realizar auditorias aos Processadores, diretamente ou através de terceiros mandatados, mediante aviso prévio de 30 dias.
9.2 Relatórios de conformidade
Os Processadores devem disponibilizar, quando solicitados:
- Relatórios de segurança (SOC 2, ISO 27001, ou equivalente)
- Certificados de auditoria externa
- Documentação das medidas técnicas e organizacionais implementadas
10. Alterações ao DPA
A Lemu Work reserva-se o direito de atualizar o presente DPA para refletir alterações legislativas, tecnológicas ou na lista de processadores. Alterações materiais são comunicadas com 30 dias de antecedência via email e/ou aviso na aplicação.
11. Contacto
Para questões relacionadas com o presente Acordo de Tratamento de Dados:
- E-mail: hello@lemu-lab.com (assunto: DPA)
- Contacto de Privacidade: privacy@lemu-lab.com [ponto de contacto para questões de proteção de dados]
- Website: https://work.lemu-lab.com
Documento elaborado em conformidade com o artigo 28.º do Regulamento (UE) 2016/679 (RGPD) e as Cláusulas Contratuais Tipo da Comissão Europeia para transferências de dados para países terceiros.