# Selmio — Acordo de tratamento de dados — DPA

Versão: 2026-10-13.1
Preparado em: 2026-10-13
Entrada em vigor: NÃO APROVADA
Estado: PREPARED_NOT_EFFECTIVE
Idioma jurídico inicial: português

Versão preparada, ainda sem entrada em vigor. Novas ativações permanecem bloqueadas até confirmação da identidade, cadeia contratual, locais de tratamento e aprovação das condições. Revisão jurídica externa pendente.

## Partes e objeto
O cliente identificado na ordem de serviço atua como responsável pelo tratamento quando aplicável; a entidade operadora Selmio atua como subcontratante. A identidade registada da entidade operadora está por confirmar. Este acordo abrange prestação de gestão condominial, armazenamento, consulta, alteração, comunicações, exportação e eliminação por instrução durante a relação contratual e o período de devolução aprovado.

## Dados e titulares
Categorias: identificação, contactos, contas e permissões, propriedades/frações e titularidade, finanças, documentos, fornecedores, comunicações e auditoria/segurança. Titulares: administradores, residentes, proprietários, representantes, fornecedores e intervenientes identificados pelo cliente. Documentos livres podem incluir categorias especiais; o cliente deve evitar inclusão desnecessária, documentar a base aplicável e restringir acesso. Não se presume que o tratamento normal exija essas categorias.

## Instruções e confidencialidade
Selmio trata dados apenas segundo instruções documentadas, incluindo transferências, salvo exigência legal, comunicada previamente ao cliente quando permitido. Deve informar se considerar uma instrução contrária à legislação aplicável. Pessoas autorizadas devem estar sujeitas a compromisso de confidencialidade ou obrigação legal equivalente, com acesso mínimo necessário. Não se usam dados do cliente para treinar IA nem se presume autorização de marketing.

## Segurança, incidentes e assistência
Aplicam-se as medidas reais e limitações do TOM. O cliente avalia a adequação ao risco do seu tratamento. Selmio informa o cliente de violações de dados pessoais sem demora injustificada após tomar conhecimento, com informação disponível sobre natureza, titulares/dados afetados, consequências, medidas e contacto, atualizando-a progressivamente. Não se inventa prazo absoluto aprovado. O cliente decide notificações à autoridade e titulares, com assistência proporcional do Selmio. O circuito operacional segue docs/launch/SUPPORT_PLAYBOOK.md e RELEASE_CHECKLIST.md; o restauro segue OFFSITE_BACKUP_PLAN.md, preservando prova e controlo de acesso.
Selmio auxilia pedidos de titulares, avaliações de impacto e consultas prévias na medida das informações disponíveis e da natureza do tratamento; não responde por decisão própria a dados controlados pelo cliente, salvo obrigação legal.

## Subprocessadores e transferências
A lista identifica apenas cadeias ativas. A conta pessoal Contabo, o Gmail pessoal e os fornecedores auxiliares ainda carecem de prova da cadeia contratual, localização e garantias. Antes de autorizar novos clientes devem existir contratos com obrigações equivalentes e mecanismo de transferência efetivamente aplicável. Selmio permanece responsável pelo cumprimento das obrigações do subcontratante perante o cliente. A política genérica de um fornecedor não prova a celebração de SCC ou DPA pela entidade.
Mudanças de subprocessador serão notificadas pelo canal contratual com identidade, finalidade, localização e garantias, permitindo objeção fundamentada em proteção de dados e solução alternativa ou cessação do tratamento afetado. Propõem-se 30 dias de aviso e 15 dias para objeção, ainda sujeitos a aprovação; não são prazos em vigor nesta versão.

## Auditorias
Selmio disponibiliza informação necessária para demonstrar cumprimento e permite auditorias pelo cliente ou auditor mandatado, incluindo inspeções, com organização proporcional de segurança e confidencialidade. Regras de aviso/custo não podem impedir obrigações legais ou resposta urgente a incidente. Evidência técnica não substitui revisão jurídica nem certificação.

## Devolução, eliminação e cessação
No termo, por escolha do cliente, devolver ou eliminar dados pessoais e cópias, salvo conservação legalmente exigida, documentando fundamento, âmbito e prazo. A exportação é assistida e verificada por âmbito; não inclui dados de outros clientes ou segredos de infraestrutura. As janelas propostas de 30 dias para solicitar devolução e 60 dias para concluir eliminação permanecem por aprovar e operacionalizar. Backups locais rodam em sete dias; externos ainda não têm expurgo comprovado. Não há promessa de apagamento imediato nem de destruição de todas as cópias em sete dias. Dados residuais ficam restritos e não voltam a uso ativo; num restauro devem reaplicar-se revogações e eliminações documentadas. É necessária confirmação de execução e das exceções antes de encerrar o processo.

## Vinculação
O DPA e anexos só vinculam após completar os factos, aprovar as condições e celebrar a ordem de serviço com representante autorizado e versões identificadas. Não existe assinatura automática do agente. Em tratamento de dados o DPA prevalece sobre termos e ordem de serviço, sem afastar direito imperativo.