Acordo de Tratamento de Dados (DPA)

Versão 1.1 · Última atualização: 10 de novembro de 2026 · Em vigor desde 10 de novembro de 2026

O presente Acordo de Tratamento de Dados («DPA») faz parte integrante dos Termos de Serviço entre Jacopo Di Loreto (AFTERTOUCH LABS DI DI LORETO JACOPO), Via Europa 18, 66020 San Giovanni Teatino (CH), Itália, número de IVA IT02882890698 («subcontratante», «nós») e um cliente empresarial («responsável pelo tratamento», «você») que utiliza a LIA para os seus próprios utilizadores, por exemplo uma escola, um estúdio ou uma editora discográfica. Aplica-se quando o responsável pelo tratamento está estabelecido no Espaço Económico Europeu (EEE), no Reino Unido ou na Suíça, ou quando o RGPD se aplica ao tratamento do responsável. Para as pessoas que usam a LIA para si próprias, somos nós o responsável pelo tratamento e aplica-se a nossa Política de Privacidade.

1. Definições

Os termos do presente DPA têm o significado que lhes é dado pelo Regulamento (UE) 2016/679 («RGPD»). «Dados Pessoais» significa qualquer informação relativa a uma pessoa singular identificada ou identificável.

2. Objeto e Duração

O subcontratante trata os Dados Pessoais por conta do responsável pelo tratamento apenas para prestar o Serviço LIA, conforme descrito nos Termos de Serviço. O presente DPA permanece em vigor durante o contrato de serviço e durante os prazos de conservação que se seguem à sua cessação (§11).

3. Natureza e Finalidade do Tratamento

O tratamento limita-se às operações necessárias para a prestação do Serviço LIA:

• gestão das contas: início de sessão, plano e pagamentos;
• chats, escritos, ditados ou falados no Talk Mode, e o respetivo tratamento pelo fornecedor de inteligência artificial;
• leitura do set do Ableton Live aberto e da lista de plugins instalados através da aplicação LIA e do LIA Bridge, e escrita no Live do trabalho pedido;
• memória do chat, registos de trabalhos, consumo do plano, minutos de voz e segundos de ditado;
• Comunidade e Suporte;
• segurança, monitorização dos erros e cópias de segurança.

4. Categorias de Dados Pessoais e Titulares dos Dados

Titulares dos dados: os utilizadores que o responsável pelo tratamento autoriza a usar a LIA (por exemplo alunos, pessoal, músicos, prestadores de serviços).

Dados Pessoais: endereços de e-mail e, se um utilizador iniciar sessão com outra conta, o identificador, o nome, o nome de utilizador e a imagem de perfil que esse serviço nos transmite; palavras-passe, guardadas apenas como hash unidirecional pelo fornecedor de autenticação; nomes de perfil e o nome escolhido nas Configurações; metadados do plano, da subscrição, dos códigos resgatados e dos pagamentos (sem dados do cartão), os pedidos de retratação e o código de parceiro utilizado, se houver, e o nome, o e-mail e o endereço de faturação nos avisos do fornecedor de pagamentos; quando um utilizador aceita na aplicação os Termos e a Política de Privacidade ou pede para iniciar um plano de imediato, o registo dessa aceitação ou desse pedido; mensagens de chat, incluindo o texto das chamadas do Talk Mode e as mensagens ditadas que o utilizador envia; dados lidos do set do Live (tempo, tonalidade, faixas e respetivos nomes, dispositivos e respetivos parâmetros, mixer e níveis, clips com as respetivas notas MIDI, localizadores, nomes de presets) e a lista de plugins; memória do chat, registos de trabalhos e contadores de utilização, incluindo os minutos de voz e os segundos de ditado; posts, comentários, votos, denúncias e sanções da Comunidade; mensagens e capturas de ecrã do Suporte; preferências de notificação e a permissão «Usar meus chats para melhorar a LIA»; dados técnicos como a versão da aplicação, o sistema e o idioma, erros e rastos técnicos das chamadas aos modelos; estatísticas do site e dos e-mails ligadas à conta (páginas vistas; entrega, abertura e cliques dos e-mails); endereços IP, com o país e o navegador ou a versão da aplicação, conservados por inteiro nos registos de acesso do servidor durante cerca de 30 dias e nos registos de início de sessão e de segurança durante 12 meses. O subcontratante não guarda nenhum áudio: o áudio do Talk Mode vai da aplicação diretamente para o fornecedor de voz, e o áudio do ditado passa pelo servidor da LIA apenas para ser transformado em texto.

O Serviço não se destina a categorias especiais de dados (art. 9.º RGPD). O responsável pelo tratamento não deve pedir aos seus utilizadores que introduzam esses dados na LIA.

5. Obrigações do Subcontratante

1. Tratar os Dados Pessoais apenas com base em instruções documentadas do responsável pelo tratamento, incluindo transferências para países terceiros (art. 28.º, n.º 3, alínea a, RGPD). Os Termos de Serviço, o presente DPA e as configurações que o responsável pelo tratamento usa na aplicação constituem as instruções do responsável pelo tratamento.
2. Garantir que as pessoas autorizadas a tratar os Dados Pessoais estejam vinculadas à confidencialidade.
3. Implementar medidas técnicas e organizativas adequadas (art. 32.º RGPD), ver §9.
4. Recorrer a subsubcontratantes apenas com a autorização geral escrita do responsável pelo tratamento (ver §8).
5. Auxiliar o responsável pelo tratamento na resposta aos pedidos dos titulares dos dados (art. 15.º a 22.º RGPD) e no cumprimento das obrigações dos art. 32.º a 36.º RGPD, tendo em conta a natureza do tratamento.
6. Notificar o responsável pelo tratamento, sem demora indevida, qualquer violação de Dados Pessoais (art. 33.º RGPD), ver §10.
7. À escolha do responsável pelo tratamento, apagar ou devolver todos os Dados Pessoais no termo dos serviços (art. 28.º, n.º 3, alínea g, RGPD), ver §11.
8. Disponibilizar as informações necessárias para demonstrar o cumprimento do art. 28.º RGPD e permitir auditorias, realizadas com aviso prévio razoável, durante o horário de expediente e sem acesso aos dados de outros clientes (art. 28.º, n.º 3, alínea h, RGPD).

6. Obrigações do Responsável pelo Tratamento

O responsável pelo tratamento confirma que dispõe de uma base jurídica (art. 6.º RGPD) para os Dados Pessoais tratados ao abrigo do presente DPA, que informou os titulares dos dados em conformidade com os artigos 13.º e 14.º do RGPD e, quando os utilizadores tiverem menos de 16 anos, que obteve o consentimento dos pais antes de lhes dar acesso à LIA.

7. Onde os dados são tratados e transferências internacionais

O servidor da LIA funciona num servidor virtual alugado na Alemanha (Hostinger), e a base de dados e a autenticação estão na região da União Europeia do Supabase. Alguns subsubcontratantes tratam dados fora do EEE, em particular o fornecedor de inteligência artificial (OpenAI, Estados Unidos). Estas transferências são regidas por:

• o EU-US Data Privacy Framework (DPF), quando o destinatário esteja certificado;
• caso contrário, as Cláusulas Contratuais-Tipo (CCT) adotadas pela Decisão (UE) 2021/914 da Comissão, Módulo 3 (de subcontratante para subsubcontratante).

8. Subsubcontratantes

O responsável pelo tratamento dá ao subcontratante uma autorização geral para recorrer a subsubcontratantes. Os subsubcontratantes atuais, com o respetivo país, estão indicados nos §4 e §5 da nossa Política de Privacidade. A lista completa, com a base da transferência e o acordo de tratamento de dados de cada um, está disponível mediante pedido para privacy@liaplugin.com: enviamo-la no prazo de 7 dias. O subcontratante informará o responsável pelo tratamento de qualquer alteração prevista com pelo menos 30 dias de antecedência; o responsável pelo tratamento pode opor-se por motivos razoáveis relacionados com a proteção de dados e, se não for encontrada uma solução, pode rescindir o serviço sem penalização. O subcontratante impõe a cada subsubcontratante obrigações de proteção de dados equivalentes às do presente DPA e continua a ser responsável por elas.

9. Medidas de Segurança (Artigo 32.º RGPD)

• Cifragem em trânsito (TLS) para o site, a aplicação e o servidor.
• Base de dados gerida pelo Supabase com cifragem em repouso; cópias de segurança noturnas do servidor e da base de dados, cifradas no servidor antes de saírem para o armazenamento das cópias (Backblaze, Estados Unidos).
• Início de sessão verificado em cada pedido ao servidor da LIA, com limites por conta; regras da base de dados que permitem a cada utilizador ver apenas os seus próprios dados.
• Serviços internos do servidor acessíveis apenas a partir do próprio servidor ou da nossa rede privada; acesso administrativo apenas com chaves SSH ou a partir de painéis protegidos por um acesso dedicado.
• Registos de acesso sem query strings e sem cabeçalhos que contenham chaves ou tokens; eliminação automática dos registos e dos rastos no fim do respetivo prazo de conservação.

10. Notificação de Violações de Dados Pessoais

O subcontratante notificará o responsável pelo tratamento, sem demora indevida e, em qualquer caso, no prazo de 48 horas após ter tomado conhecimento, de qualquer violação que afete os Dados Pessoais tratados ao abrigo do presente DPA, para que o responsável pelo tratamento possa cumprir o seu prazo de 72 horas. A notificação incluirá, na medida do que for conhecido nesse momento:

• a natureza e o âmbito aproximado da violação;
• as categorias e o número aproximado de titulares dos dados e de registos afetados;
• as consequências prováveis e as medidas adotadas ou propostas;
• um contacto para mais informações: privacy@liaplugin.com.

11. Fim dos serviços

Quando o contrato de serviço termina, e mediante pedido escrito do responsável pelo tratamento, o subcontratante apaga ou devolve todos os Dados Pessoais, exceto os dados que tem de conservar por lei (por exemplo os registos de pagamentos e fiscais). Os dados apagados desaparecem das cópias de segurança cifradas no prazo de 63 dias.

12. Responsabilidade

A responsabilidade ao abrigo do presente DPA segue os Termos de Serviço, exceto quando isso limitaria os direitos dos titulares dos dados nos termos do artigo 82.º do RGPD.

13. Lei Aplicável e Jurisdição

O presente DPA é regido pelas leis da República Italiana. O tribunal competente é o tribunal da sede social do responsável pelo tratamento, ou, quando esta esteja fora do EEE, o tribunal de Abruzzo, Itália. As reclamações relativas ao tratamento de Dados Pessoais podem ser apresentadas à autoridade de controlo competente. Em Portugal: CNPD (Comissão Nacional de Proteção de Dados), Av. D. Carlos I, 134, 1.º, 1200-651 Lisboa.

14. Contacto

Para qualquer assunto relacionado com o presente DPA: privacy@liaplugin.com