Acordo de Processamento de Dados (APD)

Data de Entrada em Vigor: 12 de dezembro de 2025

Este Acordo de Tratamento de Dados faz parte dos nossos Termos de Serviço e aplica-se sempre que a Galactic Matrix - Portugal trata dados pessoais em nome de uma instituição de ensino. Foi redigido para cumprir os requisitos do Artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD).

1. Âmbito e Aplicabilidade

Este Acordo de Processamento de Dados ("APD") aplica-se ao processamento de dados pessoais de alunos e utilizadores pela Galactic Matrix - Portugal (o "Processador") em nome de instituições de ensino e educadores (o "Cliente") ao usar a plataforma ZunoTales.

2. Funções e Responsabilidades

O Cliente atua como Responsável pelo Tratamento de Dados e a Galactic Matrix - Portugal atua como Subcontratante. O Cliente é responsável por obter qualquer consentimento parental necessário conforme exigido pelas leis aplicáveis (por exemplo, COPPA, FERPA, RGPD).

3. Objeto, duração, natureza e finalidade

O objeto do tratamento é a prestação da plataforma de aprendizagem baseada em histórias ZunoTales. A natureza e a finalidade do tratamento são criar, armazenar, narrar, traduzir e apresentar histórias personalizadas e atividades de aprendizagem para os alunos, e disponibilizar ao Cliente ferramentas de ensino e de administração de conta. O tratamento decorre durante a vigência da subscrição do Cliente e termina conforme descrito na secção 14.

3. Categorias de Dados

Os dados processados ao abrigo deste acordo incluem:

• Primeiros nomes dos alunos, idades ou anos de escolaridade e preferências de perfil, como interesses e nível de leitura.
• Nomes e dados de contacto de professores/educadores.
• Conteúdo de histórias e prompts gerados pelo utilizador.
• Análise de utilização e desempenho da turma.
• Fotografias facultativas dos alunos, caso o Cliente opte por as ativar e carregar para fins ilustrativos.

Os Serviços não se destinam ao tratamento de categorias especiais de dados pessoais nos termos do Artigo 9.º do RGPD. O Cliente não deve instruir nem permitir a introdução nos Serviços desses dados, nem de identificadores nacionais de alunos, moradas ou registos de saúde.

5. Tratamento com base em instruções documentadas

O Subcontratante apenas tratará dados pessoais de acordo com as instruções documentadas do Cliente, incluindo quanto a transferências internacionais, salvo se a lei aplicável exigir o contrário; nesse caso, o Subcontratante informará o Cliente desse requisito legal antes do tratamento, salvo se a lei o proibir. O presente ATD, os Termos de Serviço e a utilização e configuração dos Serviços pelo Cliente constituem as instruções documentadas completas do Cliente. O Subcontratante informará de imediato o Cliente se, no seu entender, uma instrução violar a legislação de proteção de dados aplicável.

6. Confidencialidade do pessoal

O Subcontratante assegura que todo o pessoal autorizado a tratar dados pessoais está sujeito a um dever de confidencialidade adequado, recebe formação em proteção de dados proporcional à sua função e tem acesso concedido apenas segundo o princípio do menor privilégio, devidamente documentado.

4. Medidas de Segurança

A Galactic Matrix - Portugal aplica medidas técnicas e organizativas padrão da indústria para proteger os dados, incluindo encriptação em repouso e em trânsito, controlos de acesso seguros, acesso administrativo com privilégios mínimos e revisão destas medidas sempre que os nossos sistemas ou atividades de tratamento sofram alterações materiais.

8. Não utilização de dados do Cliente para treino de IA

O Subcontratante não treina modelos de inteligência artificial. O Subcontratante utiliza modelos fundacionais de terceiros para gerar texto de histórias, ilustrações e narração, e exige contratualmente que os dados pessoais dos alunos e os conteúdos do Cliente enviados a esses modelos não sejam usados para os treinar ou melhorar. Os dados do Cliente não são usados para desenvolver, avaliar ou melhorar qualquer modelo, nem são divulgados a nenhum fornecedor de IA para esse fim.

5. Subcontratantes

O Processador utiliza subcontratantes de confiança para fornecer serviços essenciais, incluindo Google Cloud (Firebase) para armazenamento de dados e Google AI para geração. Todos os subcontratantes estão vinculados por obrigações de confidencialidade e proteção de dados consistentes com este APD.

• Google Cloud Platform / Firebase — alojamento da aplicação, base de dados, autenticação e armazenamento de ficheiros.
• Google Cloud AI (Gemini e Cloud Text-to-Speech) — geração de texto e ilustrações das histórias e narração áudio.
• Stripe — processamento de pagamentos para subscrições com cartão. A Stripe não recebe dados de alunos.
• Resend — envio de correio eletrónico transacional, como convites e avisos de conta. A Resend não recebe dados de alunos.

O Subcontratante avisará o Cliente com, pelo menos, 30 dias de antecedência antes de acrescentar ou substituir um subcontratante ulterior que trate dados pessoais de alunos. O Cliente pode opor-se por motivos razoáveis de proteção de dados dentro desse prazo; se as partes não conseguirem resolver a oposição, o Cliente pode rescindir os Serviços afetados sem penalização e receber o reembolso proporcional das taxas pré-pagas.

10. Transferências internacionais de dados

Os dados pessoais são armazenados em infraestrutura operada pela Google Cloud. Sempre que os dados pessoais sejam transferidos para fora do Espaço Económico Europeu ou do Reino Unido, o Subcontratante assegura a existência de um mecanismo de transferência adequado nos termos do Capítulo V do RGPD — nomeadamente uma decisão de adequação, quando aplicável, ou, em alternativa, as Cláusulas Contratuais-Tipo da Comissão Europeia (e o Adendo de Transferência Internacional de Dados do Reino Unido para transferências a partir do Reino Unido), juntamente com medidas técnicas suplementares, incluindo cifragem em trânsito e em repouso. Os detalhes dos mecanismos de transferência utilizados estão disponíveis mediante pedido ao Encarregado da Proteção de Dados.

11. Assistência no exercício dos direitos dos titulares

Tendo em conta a natureza do tratamento, o Subcontratante assistirá o Cliente através de medidas técnicas e organizativas adequadas, na medida do possível, no cumprimento da obrigação do Cliente de responder a pedidos de exercício dos direitos dos titulares nos termos do Capítulo III do RGPD. A maioria dos pedidos pode ser satisfeita diretamente pelo Cliente: os educadores e os titulares das contas podem aceder, corrigir, exportar e eliminar os perfis dos alunos e as histórias associadas a partir do painel. Se o Subcontratante receber um pedido diretamente de um titular relativo a dados do Cliente, não responderá quanto ao mérito e encaminhará o pedido para o Cliente sem demora injustificada.

12. Avaliações de impacto sobre a proteção de dados

O Subcontratante prestará assistência razoável ao Cliente nas avaliações de impacto sobre a proteção de dados e em qualquer consulta prévia a uma autoridade de controlo nos termos dos Artigos 35.º e 36.º do RGPD, tendo em conta a natureza do tratamento e a informação ao dispor do Subcontratante.

6. Notificação de Violação de Dados

Em caso de violação de segurança confirmada que conduza à destruição acidental ou ilícita, perda ou divulgação não autorizada de dados pessoais, a Galactic Matrix - Portugal notificará o Cliente sem demora injustificada.

14. Devolução e eliminação de dados

Com a cessação ou caducidade dos Serviços, o Cliente pode exportar os seus dados a partir do painel. À escolha do Cliente, o Subcontratante eliminará ou devolverá todos os dados pessoais tratados em nome do Cliente e eliminará as cópias existentes, salvo se a lei aplicável exigir a sua conservação. Salvo pedido em contrário do Cliente, os dados associados a uma conta de instituição encerrada são eliminados no prazo de 90 dias após a cessação. A eliminação de um perfil de aluno elimina as histórias desse aluno e os dados associados. As cópias de segurança são expurgadas na nossa rotação normal de backups.

15. Conservação

Os dados pessoais são conservados enquanto a conta do Cliente estiver ativa e, posteriormente, conforme descrito na secção 14. As transcrições de conversas guiadas por IA são eliminadas automaticamente ao fim de 12 meses, e de imediato se o perfil de aluno em causa ou a conta forem eliminados.

16. Auditorias e informação

O Subcontratante disponibilizará ao Cliente toda a informação necessária para demonstrar o cumprimento do Artigo 28.º do RGPD e permitirá e contribuirá para auditorias, incluindo inspeções, conduzidas pelo Cliente ou por um auditor por este mandatado. As auditorias realizar-se-ão mediante pré-aviso escrito razoável, não mais do que uma vez em cada período de doze meses, exceto na sequência de uma violação de dados pessoais ou quando exigido por uma autoridade de controlo, em horário laboral, sujeitas a obrigações de confidencialidade e de modo a não perturbar as operações do Subcontratante nem a segurança dos dados de outros clientes. O Subcontratante pode satisfazer um pedido de auditoria facultando a sua documentação de segurança e respondendo a um questionário de segurança razoável.

17. FERPA — designação como funcionário escolar

Para Clientes sujeitos à lei norte-americana Family Educational Rights and Privacy Act (FERPA), o Subcontratante atua como «funcionário escolar» com um «interesse educativo legítimo» nos registos escolares dos alunos, sob o controlo direto do Cliente quanto à sua utilização e manutenção. O Subcontratante utiliza os registos escolares apenas para prestar os Serviços ao Cliente, não os divulga novamente exceto conforme permitido pela FERPA ou instruído pelo Cliente, e não os utiliza para publicidade nem para criar perfis não educativos dos alunos.

18. Responsabilidade e ordem de precedência

Em caso de conflito entre o presente ATD e os Termos de Serviço, o presente ATD prevalece quanto ao tratamento de dados pessoais do Cliente. Caso o Cliente tenha celebrado um acordo escrito de tratamento de dados separado com a Galactic Matrix - Portugal, esse acordo prevalece. A responsabilidade de cada parte ao abrigo do presente ATD está sujeita às limitações de responsabilidade previstas nos Termos de Serviço, exceto quando essas limitações não possam legalmente aplicar-se.

7. Informações de Contacto

Para questões relacionadas com o tratamento de dados, por favor contacta o nosso Responsável pela Proteção de Dados em dpo@zunotales.com.

20. Idioma

Este ATD pode ser disponibilizado noutros idiomas além do inglês para sua conveniência. Em caso de conflito entre a versão inglesa e uma tradução, prevalece a versão inglesa.