Contrato de Subcontratante

Tradução meramente informativa. Em caso de dúvida, prevalece a versão em espanhol.

Artigo 28.º do Regulamento (UE) 2016/679 (RGPD) · Versão 2026-10-01

1. Objeto

O Responsável pelo tratamento encarrega o elpizzero do tratamento de dados pessoais necessário para prestar os serviços da plataforma: ementa digital, receção e gestão de pedidos, TPV, reservas, notificações, faturação e ferramentas associadas. O elpizzero tratará esses dados unicamente por conta e de acordo com as instruções documentadas do Responsável pelo tratamento.

2. Duração

Este contrato está em vigor enquanto existir relação de serviço entre as partes. Na sua cessação aplicar-se-á a cláusula 9 (devolução/apagamento).

3. Natureza, finalidade e dados tratados

• Categorias de titulares dos dados: clientes finais do restaurante e, se for caso disso, pessoal/utilizadores do restaurante.
• Tipos de dados: dados de identificação e de contacto (nome, telefone, email, morada de entrega), dados do pedido e de pagamento (geridos pelo prestador de pagamentos) e histórico de pedidos. Não são tratadas intencionalmente categorias especiais de dados.
• Finalidade: exclusivamente a execução dos serviços contratados pelo Responsável pelo tratamento.

4. Obrigações do elpizzero (Subcontratante)

1. Tratar os dados apenas de acordo com as instruções documentadas do Responsável pelo tratamento, incluindo no que respeita às transferências internacionais, salvo obrigação legal. Se, na sua opinião, uma instrução violar o RGPD ou outra norma de proteção de dados, o elpizzero informará imediatamente o Responsável pelo tratamento (art. 28.3 RGPD).
2. Garantir a confidencialidade e que as pessoas autorizadas se comprometam a respeitá-la.
3. Aplicar as medidas técnicas e organizativas adequadas (art. 32 RGPD): cifragem de credenciais sensíveis, controlo de acesso por perfil, isolamento de dados entre restaurantes, cópias de segurança cifradas e registo de atividade.
4. Prestar assistência ao Responsável pelo tratamento para responder aos pedidos de exercício de direitos dos titulares dos dados (acesso, retificação, apagamento, oposição, portabilidade, limitação).
5. Prestar assistência ao Responsável pelo tratamento no cumprimento dos arts. 32 a 36 (segurança, notificação de violações e avaliações de impacto).
6. Notificar o Responsável pelo tratamento sem demora injustificada e, o mais tardar, no prazo de 48 horas após ter tido conhecimento de uma violação de segurança que afete os seus dados, com a informação necessária para que o Responsável pelo tratamento cumpra o seu dever de notificação à autoridade (72 h) e, se for caso disso, aos titulares dos dados.
7. Disponibilizar ao Responsável pelo tratamento as informações necessárias para demonstrar o cumprimento e permitir auditorias razoáveis.

5. Subcontratantes ulteriores

📣 Alterações comunicadas a 2 de outubro de 2026, em vigor a 18 de outubro de 2026: deixa de ser utilizado o ipwho.is (a localização aproximada do IP passa a ser feita no nosso próprio servidor); o correio eletrónico passa a ser prestado pela Hostinger, que já consta como subcontratante ulterior; e os serviços do OpenStreetMap passam a ser também utilizados para os mapas da página de seguimento do pedido. Além disso, o ponto 4 deixa por escrito a sua instrução para que atendamos em seu nome os pedidos de apagamento dos seus clientes recebidos na plataforma, conservando o que a lei obriga a guardar. Pode opor-se escrevendo para privacidad@elpizzero.com antes dessa data (art. 28.2 RGPD).

O Responsável pelo tratamento autoriza o elpizzero a recorrer aos seguintes subcontratantes ulteriores para prestar o serviço, comprometendo-se o elpizzero a impor-lhes obrigações equivalentes de proteção de dados:

• Hostinger — alojamento e infraestrutura (servidores na UE).
• Stripe — processamento de pagamentos (quando o restaurante o ativa com as suas próprias chaves).
• Prestador de correio eletrónico SMTP — envio de notificações e comunicações.
• OpenAI (Estados Unidos) — tradução da ementa e das notas que o cliente escreve no seu pedido, e leitura de ementas e faturas; sem nome, telefone, email nem morada.
• Twilio (Estados Unidos) — chamadas automáticas de aviso ao restaurante, quando ativadas (telefone do restaurante).
• Telegram — avisos de pedidos ao restaurante, apenas se o Responsável pelo tratamento os ativar; contêm apenas o número e o montante do pedido, nenhum dado dos seus clientes (o Telegram não oferece contrato de subcontratante, pelo que não lhe são confiados).
• hCaptcha · Intuition Machines (Estados Unidos) — proteção contra robôs nos formulários públicos (IP e dados do navegador).
• Serviços de pesquisa de moradas e cálculo de percursos baseados no OpenStreetMap (Nominatim, OSRM, openrouteservice) — morada de entrega.
• Reparto — plataforma de logística de última milha (api.elpizzero.es), apenas se o Responsável pelo tratamento ativar a integração «Reparto» e fornecer o seu próprio token. De cada pedido ao domicílio recebe o indispensável para executar a entrega: morada e coordenadas de entrega, telefone de contacto, montante a cobrar e detalhe do pedido. Trata esses dados exclusivamente por conta do Responsável pelo tratamento e fica sujeito a obrigações equivalentes às deste contrato. Apagamento: quando o Responsável pelo tratamento ordena apagar os dados de um cliente, a ordem é comunicada automaticamente ao Reparto, que apaga morada, coordenadas, telefone, notas e detalhe do pedido, conservando apenas dados não identificativos de natureza operacional (estado, datas e montantes).

A lista em vigor está disponível e será atualizada neste documento. O elpizzero informará das alterações de subcontratantes ulteriores, dando ao Responsável pelo tratamento a possibilidade de se opor.

Não são subcontratantes ulteriores as ferramentas de terceiros que o Responsável pelo tratamento decida ativar na sua ementa com a sua própria conta (por exemplo, o pixel da Meta, que só é carregado se o cliente aceitar os cookies de marketing): esse prestador trata os dados como responsável, conjuntamente com o Responsável pelo tratamento, e não por conta do elpizzero (Acórdão do Tribunal de Justiça da UE de 29 de julho de 2019, Fashion ID, processo C-40/17).

5 bis. Utilização de inteligência artificial

Algumas funções da plataforma utilizam serviços de inteligência artificial (atualmente OpenAI, EUA, com garantias de transferência adequadas) para: leitura ótica de ementas (extrair categorias e produtos de fotografias ou PDF do restaurante), leitura ótica de faturas de fornecedores (consultoria e inventário), tradução da ementa e de textos para outros idiomas, e deteção de inventário e geração de conteúdos de apoio.

É enviado apenas o conteúdo necessário e não são enviados intencionalmente dados de clientes finais; pontualmente, uma tradução poderá incluir um texto livre escrito pelo cliente (p. ex. uma nota do pedido). O Responsável pelo tratamento autoriza este tratamento mediante IA ao aceitar este contrato e compromete-se a não introduzir dados pessoais desnecessários nestas funções. Cada função que utiliza IA está identificada como tal no painel, em conformidade com os princípios de transparência (incl. Regulamento (UE) 2024/1689 sobre IA).

6. Obrigações do Responsável pelo tratamento (restaurante)

• Garantir o fundamento de licitude dos tratamentos que encarrega e a informação aos titulares dos dados.
• Dispor da sua própria política de privacidade e de identificação fiscal correta no seu perfil.
• Não introduzir na plataforma categorias especiais de dados sem fundamento adequado.

7. Localização dos dados e transferências

Os dados são alojados em servidores situados na União Europeia. Se algum subcontratante ulterior implicar uma transferência internacional, esta será realizada com as garantias do Capítulo V do RGPD (decisão de adequação ou cláusulas contratuais-tipo).

8. Violações de segurança

Em caso de violação da segurança dos dados, o elpizzero seguirá o seu protocolo de resposta e notificará o Responsável pelo tratamento nos termos da cláusula 4.6 para que este possa cumprir o art. 33 RGPD (notificação à autoridade de controlo no prazo de 72 h, quando aplicável).

9. Devolução ou apagamento no termo

No termo do serviço, e à escolha do Responsável pelo tratamento, o elpizzero devolverá ou apagará os dados pessoais tratados por sua conta, bem como as cópias existentes, salvo obrigação legal de conservação.

10. Responsabilidade e legislação

Cada parte responde pelo incumprimento das suas obrigações nos termos do RGPD e da LO 3/2018 (LOPDGDD). Este contrato rege-se pela legislação espanhola e da UE.

A aceitação deste contrato fica registada com data, versão e IP ao registar-se ou ao aceitá-lo a partir do painel. Última atualização: 2026-10-01.