Acordo de tratamento de dados (DPA)

Este texto em português é uma tradução fornecida apenas a título informativo. Apenas a versão francesa do presente Acordo de Tratamento de Dados vincula juridicamente as Partes. Em caso de divergência, prevalece a versão francesa, disponível em https://hodi.host/ao-fr/dpa/.

Versão de 06/11/2026

Preâmbulo

O presente Acordo de Tratamento de Dados (doravante “o Acordo” ou “DPA”) faz parte integrante das Condições Gerais de Serviço da Hodi (doravante as “CGS”) e do Contrato celebrado entre a HODI SAS, sociedade por ações simplificada com o capital social de 20 000 euros, matriculada no Registre du Commerce et des Sociétés de Saint-Denis de La Réunion sob o número 910 167 758, com sede em 14 rue Pasteur, 97400 Saint-Denis, La Réunion (doravante “Hodi” ou “o Subcontratante”), e o cliente identificado na Encomenda / no Contrato de serviço Hodi (doravante “o Cliente” ou “o Responsável pelo Tratamento”), doravante designados em conjunto “as Partes” e individualmente “uma Parte”.

O presente Acordo define as condições em que a Hodi trata, por conta do Cliente, os dados pessoais incluídos nos conteúdos alojados através dos Serviços, nos termos do artigo 28.º do Regulamento (UE) 2016/679 (doravante o “RGPD”), da lei francesa n.º 78-17, de 6 de janeiro de 1978, na sua redação atual, e da Lei Local, tal como definida no artigo 1.

Em caso de contradição entre o presente Acordo e as CGS quanto ao tratamento de dados pessoais, prevalece o presente Acordo.

ARTIGO 1. Definições

Os termos “dados pessoais”, “tratamento”, “responsável pelo tratamento”, “subcontratante”, “titular dos dados”, “violação de dados pessoais” e “autoridade de controlo” têm o significado que lhes é atribuído pelo artigo 4.º do RGPD. Os termos iniciados por maiúscula e não definidos no presente Acordo têm o significado que lhes é atribuído pelas CGS.

Para efeitos do presente Acordo, entende-se ainda por:

• “País do Cliente”: o país onde está estabelecido o Cliente signatário da Encomenda;
• “País de Alojamento”: o país onde se situa o centro de dados principal que aloja os dados do Cliente, escolhido pelo Cliente no momento da Encomenda;
• “Lei Local”: a legislação relativa à proteção de dados pessoais do País do Cliente e, se for diferente, a do País de Alojamento, bem como a respetiva regulamentação;
• “Autoridade de Controlo Local”: a autoridade responsável pela proteção de dados pessoais no País do Cliente;
• “Autoridade”: qualquer tribunal, autoridade administrativa, autoridade de investigação criminal ou outro organismo público, independentemente do país, habilitado a exigir a comunicação de dados;
• “Pedido”: qualquer injunção, requisição, ordem, carta rogatória ou pedido de acesso emanado de uma Autoridade e relativo a dados do Cliente;
• “CEDEAO”: a Comunidade Económica dos Estados da África Ocidental;
• “UEMOA”: a União Económica e Monetária Oeste-Africana.

ARTIGO 2. Objeto e repartição de funções

2.1. Nos termos do artigo 21 das CGS, cada Parte é responsável pelo tratamento dos dados que trata para as suas próprias finalidades.

2.2. A Hodi atua na qualidade de responsável pelo tratamento relativamente aos tratamentos necessários à execução do Contrato, nomeadamente os elementos de identificação do Cliente e as suas modalidades de pagamento. Estes tratamentos encontram-se descritos na Política de Privacidade da Hodi, disponível em https://hodi.host/confidentialite.

2.3. A Hodi atua na qualidade de subcontratante do Cliente relativamente aos dados pessoais incluídos nos conteúdos que o Cliente aloja, armazena ou trata através dos Serviços. O presente Acordo rege exclusivamente este âmbito de subcontratação.

2.4. Caso particular dos servidores dedicados não geridos. Nas ofertas de servidor (virtual) dedicado não gerido, a Hodi não dispõe de qualquer acesso de administrador aos sistemas do Cliente (artigo 32 das CGS) e fornece apenas a infraestrutura. O Cliente assegura, por si só, a administração, a segurança e o tratamento dos dados. Nesse caso, o âmbito de subcontratação da Hodi limita-se ao fornecimento e à manutenção em condições operacionais da infraestrutura subjacente.

ARTIGO 3. Descrição do tratamento

A natureza, a finalidade e a duração do tratamento, os tipos de dados e as categorias de titulares dos dados encontram-se descritos no Anexo 1.

ARTIGO 4. Obrigações do Subcontratante

A Hodi compromete-se a:

4.1. Tratar os dados mediante instruções documentadas do Cliente. A Hodi trata os dados pessoais exclusivamente para a prestação dos Serviços e mediante instruções documentadas do Cliente, incluindo no que respeita a transferências, tal como resultam do Contrato, das CGS, do presente Acordo e da utilização que o Cliente faz dos Serviços. Se a Hodi for obrigada a proceder a um tratamento por força do direito da União ou de um Estado-Membro, informa o Cliente antes do tratamento, salvo proibição legal. Quando esse tratamento resultar de um Pedido, independentemente do país da Autoridade que o emitiu, aplica-se o artigo 7.

4.2. Alertar em caso de instrução não conforme. A Hodi informa imediatamente o Cliente se, no seu entender, uma instrução constituir uma violação do RGPD ou de qualquer outra disposição aplicável em matéria de proteção de dados.

4.3. Garantir a confidencialidade. A Hodi assegura que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada, e que recebem a formação necessária. A Hodi aplica o princípio do privilégio mínimo (artigo 6.3 das CGS).

4.4. Aplicar as medidas de segurança. A Hodi aplica as medidas técnicas e organizativas adequadas previstas no artigo 32.º do RGPD, descritas no Anexo 2 e no artigo 6 das CGS.

4.5. Enquadrar o recurso a subcontratantes ulteriores. As condições constam do artigo 5 do presente Acordo.

4.6. Prestar assistência ao Cliente no exercício dos direitos dos titulares. Tendo em conta a natureza do tratamento, a Hodi presta assistência ao Cliente, através de medidas técnicas e organizativas adequadas e na medida do possível, para permitir que este cumpra a sua obrigação de dar resposta aos pedidos de exercício dos direitos dos titulares dos dados (acesso, retificação, apagamento, limitação, portabilidade, oposição). Quando um pedido for dirigido diretamente à Hodi, esta transmite-o ao Cliente com a maior brevidade possível, sem lhe responder ela própria, salvo instrução em contrário.

4.7. Prestar assistência ao Cliente em matéria de segurança e conformidade. A Hodi presta assistência ao Cliente no cumprimento das obrigações previstas nos artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliações de impacto, consulta prévia da autoridade de controlo), tendo em conta a natureza do tratamento e as informações ao seu dispor.

4.8. Notificar as violações de dados. A Hodi notifica o Cliente de qualquer violação de dados pessoais com a maior brevidade possível e o mais tardar no prazo de 72 horas a contar da sua deteção (artigo 6.6 das CGS), fornecendo as informações úteis para permitir ao Cliente, se for caso disso, notificar a autoridade de controlo e os titulares dos dados.

4.9. Manter um registo. A Hodi mantém um registo das categorias de atividades de tratamento realizadas por conta do Cliente, nos termos do artigo 30.º, n.º 2, do RGPD.

4.10. Disponibilizar as informações necessárias e permitir auditorias. A Hodi disponibiliza ao Cliente todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD e permite a realização de auditorias, incluindo inspeções, nas condições previstas no artigo 8 do presente Acordo.

ARTIGO 5. Subcontratantes ulteriores

5.1. O Cliente autoriza a Hodi a recorrer a subcontratantes ulteriores para a execução dos Serviços (artigo 25 das CGS). A lista dos subcontratantes ulteriores atuais consta do Anexo 3.

5.2. A Hodi impõe contratualmente a cada subcontratante ulterior obrigações de proteção de dados substancialmente equivalentes às do presente Acordo. A Hodi continua a ser plenamente responsável perante o Cliente pelo cumprimento, por parte do subcontratante ulterior, das obrigações deste.

5.3. A Hodi impõe a cada subcontratante ulterior que trate os dados do Cliente ou a eles tenha acesso, nomeadamente os operadores de centros de dados parceiros, que notifique imediatamente a Hodi de qualquer Pedido, salvo proibição legal, que comunique apenas o estritamente necessário e que não transfira os dados para outro país sem o acordo da Hodi.

5.4. A lista constante do Anexo 3 indica, para cada subcontratante ulterior, o seu país de registo e o país onde os dados do Cliente são tratados.

5.5. Assistentes de inteligência artificial ligados pelo Cliente. Quando o Cliente, ou um utilizador por si autorizado, ligar um assistente de inteligência artificial aos seus Serviços através do conector MCP ou de um token de API (artigo 12 das CGS):

• cada pedido transmitido pelo assistente dentro dos limites dos acessos concedidos constitui uma instrução documentada do Cliente na aceção do artigo 4.1;
• o fornecedor do assistente é escolhido pelo Cliente e atua por conta deste. Não é um subcontratante ulterior da Hodi e não consta do Anexo 3. Cabe ao Cliente celebrar com esse fornecedor os compromissos exigidos pela regulamentação aplicável, nomeadamente um acordo de subcontratação quando esse fornecedor tratar os dados por conta do Cliente;
• os dados que o assistente consulta são-lhe comunicados mediante instrução do Cliente e são tratados pelo respetivo fornecedor de acordo com as condições e a política de privacidade deste, incluindo fora do País de Alojamento. Esta comunicação não está abrangida pelos compromissos de localização do artigo 6, cabendo ao Cliente verificar que é compatível com as suas obrigações;
• os dados necessários ao funcionamento do conector (autorização concedida, tokens, registo das chamadas) são tratados pela Hodi na qualidade de responsável pelo tratamento, tal como os dados de conta, e encontram-se descritos na política de privacidade da Hodi.

ARTIGO 6. Localização e transferências dos dados

6.1. Os dados alojados pelos clientes são armazenados nas infraestruturas da Hodi ou nas de parceiros de alojamento selecionados, e não em plataformas de cloud pública norte-americanas. Estão localizados no país ou na região escolhidos pelo Cliente no momento da Encomenda, de entre os propostos para a oferta subscrita. A localização da respetiva cópia de segurança depende da oferta e do centro de dados de alojamento (artigo 22 das CGS).

Para as ofertas “alojamento web e emails”, “alojamento web DR/PCN” e “Nuaz”, a cópia de segurança de 30 dias é realizada:

• centro de dados na União Europeia (França, Reunião, Martinica): na Alemanha. Os dados não saem da União Europeia;
• centro de dados na África Ocidental (Costa do Marfim, Gana, Nigéria, Senegal, Togo): em Lomé (Togo). Os dados não saem do espaço da CEDEAO, nem do espaço da UEMOA no caso dos Estados que dela são membros;
• centro de dados na África Central (Camarões): em Lomé (Togo);
• centro de dados na África Oriental (Quénia, Tanzânia, Uganda): na Maurícia;
• centro de dados na África do Sul (Cidade do Cabo): em Joanesburgo. Os dados não saem da África do Sul;
• centro de dados noutro país (Egito, Madagáscar, Marrocos, Maurícia, Ruanda, Tunísia): na Alemanha (União Europeia).

Para a oferta “CYBER+”, a cópia de segurança horária é realizada na Alemanha, independentemente do país do centro de dados de alojamento.

Para os servidores dedicados e servidores virtuais dedicados, a cópia de segurança DR/PCN é realizada no mesmo país que o centro de dados de alojamento (sem prejuízo das exceções previstas no artigo 22 das CGS). A cópia de segurança Acronis, opcional, é realizada no país escolhido pelo Cliente no momento da Encomenda, e a cópia de segurança JetBackup, opcional, na Alemanha.

A Hodi não altera, sem o acordo do Cliente, a localização ou a zona geográfica escolhida no momento da Encomenda.

Consoante a oferta e as opções subscritas, determinados dados são conservados ou acessíveis fora do País de Alojamento: cópias de segurança realizadas na Alemanha, em Lomé ou na Maurícia (artigo 22 das CGS), filtragem anti-spam (artigo 16 das CGS) e subcontratantes ulteriores enumerados no Anexo 3. A pedido do Cliente, a Hodi comunica-lhe as informações necessárias ao cumprimento das formalidades previstas na Lei Local (localização dos dados e das cópias de segurança, subcontratantes ulteriores envolvidos, medidas de segurança).

6.2. Quando um tratamento implicar uma transferência de dados para um país terceiro que não beneficie de uma decisão de adequação, a Hodi aplica garantias adequadas, nomeadamente as Cláusulas Contratuais-Tipo da Comissão Europeia (artigo 21 das CGS) e, se for caso disso, medidas suplementares.

6.3. O Cliente mandata a Hodi para celebrar, em seu nome e por sua conta, na qualidade de exportador de dados, as Cláusulas Contratuais-Tipo necessárias com os importadores de dados em causa. O Cliente declara dispor das autorizações necessárias para o efeito.

ARTIGO 7. Pedidos de autoridades

7.1. Princípio. A Hodi só comunica dados do Cliente a uma Autoridade em cumprimento de uma obrigação legal imperativa ou de uma decisão executória que lhe seja aplicável. A Hodi nunca comunica dados do Cliente por iniciativa própria.

7.2. Informação ao Cliente. A Hodi informa o Cliente de qualquer Pedido sem demora, o mais tardar nas quarenta e oito (48) horas úteis seguintes à sua receção e, em qualquer caso, antes de qualquer comunicação de dados. Esta informação indica a identidade e o país da Autoridade, a base jurídica invocada e os dados visados, e é acompanhada de uma cópia do Pedido. Aplica-se igualmente quando o Pedido é dirigido a um subcontratante ulterior e levado ao conhecimento da Hodi.

7.3. Informação ao país de origem dos dados. A pedido do Cliente, a Hodi informa igualmente a Autoridade de Controlo Local da existência do Pedido. Quando o Pedido provenha de uma Autoridade de um país que não seja o País do Cliente nem o País de Alojamento, e o Cliente não se tenha pronunciado no prazo de cinco (5) dias úteis, a Hodi presta essa informação por sua própria iniciativa.

7.4. Proibição de informar. As informações previstas nos artigos 7.2 e 7.3 são prestadas na medida em que a lei não o proíba. Caso se aplique uma proibição, a Hodi envida os seus melhores esforços para obter o respetivo levantamento e presta a informação logo que esta cesse.

7.5. Análise e contestação. A Hodi analisa a regularidade do Pedido (competência da Autoridade, base legal, proporcionalidade, âmbito). Quando existam motivos sérios para o contestar, nomeadamente um conflito com a Lei Local, a Hodi contesta-o ou solicita à Autoridade que o limite, na medida em que tal diligência seja juridicamente possível. O Cliente pode, a expensas suas, intervir no processo.

7.6. Cooperação judiciária. Quando o Pedido provenha de uma Autoridade estrangeira ao País de Alojamento e a comunicação seja suscetível de violar a Lei Local, a Hodi assinala-o à Autoridade e solicita que o Pedido seja apresentado pela via da cooperação judiciária internacional. Se a Hodi continuar vinculada por uma decisão executória não suspensa, cumpre-a apenas na estrita medida exigida, sem que essa execução constitua um incumprimento do Contrato.

7.7. Minimização e registo. A Hodi limita qualquer comunicação aos dados precisamente visados pelo Pedido e não concede a nenhuma Autoridade um acesso global ou permanente aos sistemas ou aos dados do Cliente. A Hodi mantém um registo dos Pedidos recebidos e disponibiliza-o ao Cliente em causa, mediante pedido, na medida em que a lei o permita.

ARTIGO 8. Auditorias

8.1. A Hodi disponibiliza ao Cliente, mediante pedido, as informações e os documentos que permitam demonstrar a sua conformidade, nomeadamente o seu Plano de Garantia de Segurança (artigo 6.8 das CGS) e, sob reserva da assinatura de um acordo de confidencialidade, os relatórios de auditoria disponíveis.

8.2. O Cliente pode realizar, a expensas suas, uma auditoria no máximo uma vez por ano, mediante pré-aviso razoável, durante as horas úteis e sem perturbar os Serviços nem comprometer a segurança dos outros clientes. Podem ser realizadas auditorias adicionais em caso de violação comprovada ou de exigência de uma autoridade de controlo.

ARTIGO 9. Obrigações do Responsável pelo Tratamento

O Cliente garante que dispõe de uma base legal para os tratamentos que realiza através dos Serviços, que fornece instruções lícitas, que informa os titulares dos dados, que não aloja dados para finalidades ilícitas, que respeita o RGPD e a Lei Local (artigos 11 e 21 das CGS) e que cumpre as formalidades previstas na Lei Local junto da Autoridade de Controlo Local. O Cliente continua a ser responsável pela licitude dos dados que trata e das instruções que dá.

ARTIGO 10. Destino dos dados no termo do contrato

10.1. No termo da prestação dos Serviços, a Hodi apaga os dados pessoais ou devolve-os ao Cliente, consoante a escolha deste, nas condições de reversibilidade previstas no artigo 32 das CGS, e destrói as cópias existentes, salvo obrigação legal de conservação.

10.2. Por medida de segurança, a Hodi conserva cópias de segurança após a rescisão, apagadas automaticamente 30 dias após a rescisão no caso das ofertas “alojamento web e e-mails”, “alojamento web DR/PCN” e “Nuaz”, e 7 dias no caso dos outros Serviços prestados pela Hodi (artigo 26.3 das CGS).

10.3. Cabe ao Cliente recuperar e exportar os seus dados pessoais antes do termo dos Serviços, nas condições de reversibilidade previstas no artigo 32 das CGS. O Cliente é informado de que a rescisão ou a expiração dos Serviços implica o apagamento dos dados, incluindo as cópias de segurança, nos prazos acima indicados.

ARTIGO 11. Responsabilidade

A Hodi só é responsável pelos danos causados por um tratamento quando (i) não tenha cumprido as obrigações do RGPD que incumbem especificamente aos subcontratantes, ou (ii) tenha agido fora das instruções lícitas do Cliente ou em contrariedade com as mesmas. Nos restantes casos, o Cliente continua a ser responsável pelo tratamento que realiza através dos Serviços.

As limitações e os limites máximos de responsabilidade previstos nas CGS e no Contrato aplicam-se ao presente Acordo.

ARTIGO 12. Duração

O presente Acordo entra em vigor na data de aceitação do Contrato e mantém-se aplicável durante todo o período de tratamento dos dados pessoais pela Hodi por conta do Cliente. As obrigações de confidencialidade subsistem durante doze (12) meses após o termo (artigo 20 das CGS).

ARTIGO 13. Lei aplicável e jurisdição

O presente Acordo rege-se pela lei francesa, sem prejuízo da aplicação das disposições imperativas da Lei Local. Qualquer litígio é submetido ao procedimento previsto no artigo 35 das CGS: tentativa de resolução amigável através da negociação otimizada em linha Néo-Justice, seguida de arbitragem nos termos do Regulamento de Negociação e Arbitragem da Néo-Justice e, na falta de arbitragem aplicável, competência dos Tribunais de Saint-Denis da Reunião.

ARTIGO 14. Contacto

Para qualquer questão relativa ao presente Acordo ou ao tratamento de dados pessoais, nomeadamente para notificar um incidente de segurança, o Cliente pode contactar a Hodi:

• por e-mail, para o endereço securite@hodi.host;
• abrindo um pedido a partir da sua área de cliente;
• por correio postal, para o endereço: HODI SAS, 14 rue Pasteur, 97400 Saint-Denis, La Réunion.

Anexo 1: Descrição do tratamento

• Natureza e finalidade: alojamento, armazenamento, cópia de segurança e disponibilização dos conteúdos do Cliente através dos Serviços subscritos (alojamento web e e-mails, DR/PCN, CYBER+, Nuaz, VPS, servidor virtual dedicado gerido ou não gerido, Odoo Cloud e serviços associados).
• Duração: duração do Contrato, acrescida dos prazos de conservação das cópias de segurança (artigo 10).
• Categorias de titulares dos dados: determinadas pelo Cliente (por exemplo: os seus clientes, potenciais clientes, trabalhadores, utilizadores dos seus sites e aplicações).
• Categorias de dados: determinadas pelo Cliente, correspondentes aos conteúdos que aloja. O Cliente compromete-se a não alojar categorias especiais de dados (artigo 21 das CGS) sem medidas adequadas e instrução específica.
• Operações realizadas: armazenamento, alojamento, cópia de segurança, replicação, restauro e operações técnicas necessárias à prestação e à segurança dos Serviços.

Anexo 2: Medidas técnicas e organizativas de segurança

Síntese das medidas previstas no artigo 6 das CGS:

• Segurança física dos centros de dados: compartimentos corta-fogo, alimentação de emergência, deteção precoce de incêndio, extinção por redução de oxigénio, climatização redundante, acesso físico restrito e registado.
• Alta disponibilidade: arquitetura redundante, replicação em tempo real em dois centros de dados do mesmo território para as ofertas abrangidas, firewall por componente.
• Segmentação de rede: separação dos fluxos de administração e dos fluxos correntes; isolamento forte entre clientes no alojamento partilhado, segmentação dedicada opcional nos servidores dedicados.
• Segurança dos acessos: acesso lógico através de ligação dedicada segura e ZTNA, interfaces de administração não expostas à Internet, autenticação multifator das equipas, princípio do menor privilégio, política de palavras-passe conforme ao guia ANSSI-PG-078, registo dos acessos de administradores, revisões regulares dos direitos e das contas privilegiadas, cifragem dos postos de trabalho, suportes e terminais.
• Proteção aplicacional: antivírus/antimalware, firewall aplicacional (WAF), proteção DDoS de níveis 3/4.
• Gestão de vulnerabilidades: aplicação regular das correções de segurança, com atualização do kernel sem reinício para as vulnerabilidades críticas.
• Cópias de segurança: procedimento diário automatizado e supervisionado, cópias de segurança cifradas e tecnicamente inacessíveis a partir da infraestrutura de produção; retenções e localizações consoante a oferta (artigo 22 das CGS).
• Continuidade e recuperação de atividade (DR/PCN): plano de continuidade e de recuperação que abrange nomeadamente o risco ciclónico e os ataques do tipo cryptolocker (cópias de segurança inacessíveis à Hodi), testado pelo menos uma vez por ano.
• Supervisão: supervisão em tempo real 24 horas por dia, 7 dias por semana, com encaminhamento redundante de alertas.
• Gestão de incidentes: notificação das violações num prazo máximo de 72 horas.
• Documentação: Plano de Garantia de Segurança comunicado mediante pedido.
• Melhoria contínua (ISO/IEC 27001): a Hodi iniciou um processo de certificação ISO/IEC 27001, a fim de reforçar continuamente o seu sistema de gestão da segurança da informação.

Anexo 3: Lista dos subcontratantes ulteriores

São enumerados os subcontratantes suscetíveis de tratar os dados pessoais alojados pelo Cliente. Os subcontratantes efetivamente envolvidos dependem da oferta subscrita e da localização escolhida pelo Cliente. A lista indica, para cada subcontratante ulterior, o país onde os dados do Cliente são tratados, os países ou zonas de clientes abrangidos por família de ofertas, bem como o seu país de registo. As transferências para fora da UE/EEE estão sujeitas a garantias adequadas (cláusulas contratuais-tipo).

A Suíça e o Reino Unido beneficiam de uma decisão de adequação da Comissão Europeia. As transferências para qualquer país fora da União Europeia que não beneficie de uma decisão de adequação (ver a coluna “País” acima) são enquadradas por cláusulas contratuais-tipo. Lista mantida atualizada; não inclui os subcontratantes dos produtos “marketplace” definidos nas CGS.

Nota: os prestadores de serviços de pagamento e de faturação (Stripe, pawaPay, WHMCS) tratam os dados de identificação e de pagamento relativamente aos quais a Hodi atua na qualidade de Responsável pelo Tratamento (artigo 21.º das CGS); estão abrangidos pela Política de Privacidade da Hodi e não pelo presente DPA.