Acordo de tratamento de dados

Entre o jardim de infância e a 4V3D OÜ, para o serviço de grupo da Minute Mission. Versão 1.0, 23 de setembro de 2026.

Esta é a tradução portuguesa do acordo, publicada para que possa lê-lo na sua própria língua. Os textos que vigoram são o inglês e o estónio, e é o texto estónio que os clientes estónios assinam. Se algo aqui for divergente do texto inglês, prevalece o texto inglês.

Como celebrar este acordo

Duas formas, com o mesmo efeito.

No momento da subscrição. Assinale a caixa em que declara aceitar este acordo, versão 1.0. A versão e a data ficam registadas na sua conta, uma cópia do texto exato que aceitou é-lhe enviada por correio eletrónico, e o texto permanece disponível na sua conta.
Em papel, se a sua organização necessitar de assinatura. Peça-nos para info@4v3d.ee e enviamos o mesmo texto em documento, com uma tabela para os seus dados. Assine-o eletronicamente (assinatura qualificada eIDAS, DocuSign, Adobe Sign ou o sistema nacional do seu país) e devolva-o. A 4V3D OÜ assina o mesmo ficheiro e reenvia-o. O acordo produz efeitos na data da segunda das duas assinaturas.

Subcontratante: 4V3D OÜ, número de registo 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estónia. Representante: Oskar Viil, membro do conselho de administração. Contacto: info@4v3d.ee.

1. O que este acordo abrange

O jardim de infância (o responsável pelo tratamento) utiliza a Minute Mission, uma aplicação web explorada pela 4V3D OÜ (o subcontratante), na qual uma educadora mantém um quadro com as missões e as recompensas de um grupo. Para esse efeito, a 4V3D OÜ trata os dados pessoais descritos no Anexo II por conta do jardim de infância e segundo as instruções deste.

Este acordo contém tudo aquilo que o artigo 28.º, n.º 3, do RGPD, e do UK GDPR, exige que seja acordado por escrito entre um responsável pelo tratamento e um subcontratante. Aplica-se esteja ou não o jardim de infância estabelecido no EEE ou no Reino Unido.

2. Que lei se lhe aplica

Jardim de infância no EEE. Aplica-se o RGPD. Aplica-se também a secção 3.
Jardim de infância no Reino Unido. Aplicam-se o UK GDPR e o Data Protection Act 2018. As referências abaixo ao RGPD entendem-se feitas ao UK GDPR, as referências a uma autoridade de controlo entendem-se feitas ao Information Commissioner, e a secção 3 não se aplica.
Jardim de infância em qualquer outro país. Aplica-se-lhe a sua própria lei de proteção de dados, e estas condições vinculam a 4V3D OÜ a título contratual. A 4V3D OÜ está estabelecida na União Europeia, pelo que, em qualquer caso, está sujeita ao RGPD quanto a este tratamento. Nada aqui reduz um direito que a sua própria lei lhe confira.

3. Cláusulas contratuais-tipo da Comissão Europeia

Quando o jardim de infância esteja estabelecido no EEE, as partes aplicam as cláusulas contratuais-tipo entre responsáveis pelo tratamento e subcontratantes constantes do anexo da Decisão de Execução da Comissão (EU) 2021/915, na sua versão oficial em inglês. Essas cláusulas fazem parte do presente acordo e os anexos abaixo são os anexos daquelas. A cláusula 5 (adesão) não se aplica. Na cláusula 7.7 aplica-se a opção 2: autorização geral por escrito dos subcontratantes ulteriores, com aviso prévio de 30 dias de qualquer alteração. Em caso de divergência entre as cláusulas e o presente acordo, prevalecem as cláusulas.

4. A que cada parte se obriga

A 4V3D OÜ obriga-se a:

Tratar os dados pessoais apenas para prestar o serviço e apenas segundo as instruções documentadas do jardim de infância, incluindo quanto a transferências para países terceiros. Este acordo e a utilização do serviço pelo jardim de infância são essas instruções. Se o direito da União ou de um Estado-Membro obrigar a 4V3D OÜ a tratar os dados de outra forma, comunicá-lo-á antes ao jardim de infância, salvo se esse direito o proibir.
Nunca utilizar os dados para fins próprios, nunca os vender, nunca os utilizar para treinar seja o que for e nunca os mostrar a alguém fora dos subcontratantes ulteriores indicados no Anexo IV.
Assegurar que todas as pessoas com acesso estão sujeitas a dever de confidencialidade.
Manter as medidas de segurança do Anexo III e não as enfraquecer.
Recorrer apenas aos subcontratantes ulteriores do Anexo IV. A 4V3D OÜ pode acrescentar ou substituir um deles, dando antes à pessoa de contacto do jardim de infância um aviso prévio por escrito de 30 dias. O jardim de infância pode opor-se dentro desses 30 dias; se a oposição não puder ser resolvida, o jardim de infância pode cessar o serviço e é reembolsado da parte não utilizada do mês.
Ajudar o jardim de infância a responder a um pedido de um pai, de uma mãe ou de um membro do pessoal. As educadoras e a direção já podem, no próprio serviço, consultar, corrigir, exportar e apagar estes dados. Se um pedido chegar antes à 4V3D OÜ, é transmitido à pessoa de contacto do jardim de infância no prazo de cinco dias úteis e não é respondido diretamente.
Ajudar o jardim de infância a cumprir as suas obrigações nos termos dos artigos 32.º a 36.º (segurança, notificação de violações, avaliações de impacto, consulta prévia), tendo em conta o que a 4V3D OÜ efetivamente sabe.
Informar a pessoa de contacto do jardim de infância de uma violação de dados pessoais no prazo de 24 horas a contar do momento em que dela tem conhecimento, com o que é sabido nesse momento e o restante à medida que for apurado.
No fim do serviço, apagar os dados no prazo de 30 dias, ou devolvê-los antes disso se o jardim de infância o pedir. Os dados desaparecem das cópias de segurança cifradas no prazo de 90 dias. A 4V3D OÜ confirma por escrito quando tal estiver feito.
Disponibilizar as informações necessárias para demonstrar o cumprimento destas obrigações e permitir uma auditoria. Na prática, isso significa respostas escritas e documentação a pedido. Uma auditoria nas instalações ou por terceiros pode ser marcada com 30 dias de antecedência, a expensas do jardim de infância, não mais do que uma vez por ano, salvo se tiver ocorrido uma violação.
Avisar imediatamente o jardim de infância se uma instrução lhe parecer violar a legislação de proteção de dados.

O jardim de infância obriga-se a:

Assegurar que tem um fundamento de licitude para este tratamento e que os pais foram informados. A 4V3D OÜ não tem contacto com os pais e não o pode fazer por si.
Limitar os dados inseridos no serviço ao que o Anexo II descreve. Em especial, não escrever num campo de texto livre o apelido de uma criança, informações de saúde, uma avaliação de uma criança ou o que quer que seja sobre a situação de uma família.
Manter corretos os dados da sua conta e comunicar à 4V3D OÜ a mudança da pessoa de contacto.
Gerir as contas do seu próprio pessoal: eliminar o acesso de uma educadora quando esta sai.

5. Duas coisas que não são tratamento por sua conta

Ficam aqui ditas com clareza, para que ninguém tenha depois de adivinhar.

Contas do pessoal. O nome, o endereço de correio eletrónico e a palavra-passe de uma educadora ou da direção são indispensáveis ao funcionamento do serviço, e é a 4V3D OÜ que decide como o fazer funcionar. Para esse fim restrito, a 4V3D OÜ é responsável pelo tratamento, e não subcontratante, aplicando-se a sua própria política de privacidade. Tudo o que diz respeito às crianças é tratamento por conta do jardim de infância e está abrangido pelo presente acordo.
Pagamento. Se o jardim de infância pagar com cartão, o pagamento é processado pela Stripe Payments Europe Ltd. A Stripe recebe o nome de faturação, a morada, o número de IVA, o endereço de correio eletrónico e os dados do cartão do jardim de infância, e nenhum dado sobre qualquer criança. A 4V3D OÜ é responsável pelo tratamento desses dados de faturação. A Stripe não é, por isso, um subcontratante ulterior ao abrigo do presente acordo e não consta do Anexo IV.

6. Vigência, lei aplicável e responsabilidade

O presente acordo vigora enquanto a 4V3D OÜ tratar os dados do jardim de infância e mantém-se depois do fim do serviço até os dados serem apagados.

Aplica-se a lei estónia e são competentes os tribunais do condado de Harju, salvo se o jardim de infância for uma entidade pública cujas próprias regras imponham a lei e os tribunais nacionais, caso em que as partes acordam nisso antes da assinatura.

A responsabilidade é a prevista nas Condições de Utilização da Minute Mission, que o presente acordo complementa e não substitui.

Anexo I. As partes

Responsável pelo tratamento: o jardim de infância, identificado pelos dados que indica na subscrição ou preenche na cópia assinada. Papel: responsável pelo tratamento dos dados das crianças mantidos no quadro do grupo.

Subcontratante: 4V3D OÜ, número de registo 17515961, Asula tn 5-26, Kesklinna linnaosa, 11312 Tallinn, Estónia. Contacto: Oskar Viil, membro do conselho de administração, info@4v3d.ee. Não está designado um encarregado da proteção de dados, porque o RGPD não o exige neste caso.

Qualquer das partes pode mudar a sua pessoa de contacto comunicando-o por escrito à outra.

Anexo II. Descrição do tratamento

Dados de quem	As crianças do grupo e as educadoras e a direção que utilizam o serviço.
Dados das crianças	Nome próprio ou alcunha, uma imagem escolhida (nunca uma fotografia), pontos, missões concluídas, recompensas recebidas, prémios semanais de uma lista fixa, estrelas extra com um motivo retirado de uma lista fixa ou uma nota da própria educadora até 60 caracteres, e uma marca de que a criança hoje faltou, sem indicação de motivo.
Dados do pessoal	Nome, endereço de correio eletrónico, palavra-passe guardada apenas como hash e registos de início de sessão: que educadora assinalou o quê, a identificação do navegador numa sessão e os endereços IP das tentativas de início de sessão, guardados apenas para travar tentativas de adivinhar palavras-passe.
Não recolhido	Apelidos, números de identificação nacional, datas de nascimento, fotografias, dados de saúde, moradas, contactos dos pais. Não é sequer possível carregar fotografias numa conta de grupo.
Categorias especiais	Nenhuma. O serviço não foi construído para guardar dados dessas categorias, e o limite de texto livre acima existe para que assim continue.
Finalidade	Um quadro de missões e recompensas para o grupo, como apoio ao ensino e ao cuidado das crianças.
Natureza do tratamento	Conservação, visualização, retificação, exportação e apagamento, sempre iniciados pelo próprio pessoal do jardim de infância dentro do serviço. Sem definição de perfis, sem decisões automatizadas, sem análise de utilização, sem publicidade.
Frequência	Contínua, enquanto o serviço for utilizado.
Duração	Enquanto o serviço for utilizado, ou durante o período experimental acordado. Apagamento nos termos da secção 4.

Anexo III. Medidas de segurança

Os dados estão na União Europeia. A aplicação e as suas cópias de segurança funcionam no centro de dados da Hetzner Online GmbH em Helsínquia, Finlândia (certificado ISO/IEC 27001). O correio eletrónico do serviço é enviado a partir da Scaleway SAS, em França. Não há transferência para países terceiros.
Tudo o que circula vai cifrado (HTTPS, com uma Content Security Policy em vigor). As palavras-passe nunca são guardadas, apenas um hash delas, e os testemunhos de sessão também são guardados sob a forma de hash, pelo que uma cópia da base de dados não é um conjunto de chaves que funcionem.
Cada grupo é uma conta separada. Uma educadora vê apenas as crianças do seu próprio grupo. A direção tem um único acesso que abrange os seus grupos e nenhum acesso aos de outra pessoa.
Não é possível carregar fotografias numa conta de grupo, as notificações push estão desligadas e as imagens das crianças estão limitadas a um conjunto de desenhos.
Cópias de segurança cifradas diárias, guardadas 14 dias no servidor e 90 dias fora dele. São cifradas com uma chave pública que o próprio servidor não possui, pelo que o servidor não consegue ler as suas próprias cópias de segurança. A reposição a partir de uma cópia de segurança já foi testada.
O acesso ao servidor está limitado ao membro do conselho de administração da 4V3D OÜ. Não há nenhum trabalhador, prestador de serviços ou agente de apoio com acesso.
Sem análise de utilização, sem ferramentas de publicidade e sem rastreio de qualquer espécie. O único relatório regular é uma contagem diária de registos, contas ativas e erros, que não contém nomes.
Limitação da frequência de pedidos no início de sessão e no registo, e um limite de 30 dias para quão atrás se pode assinalar uma missão, para que um engano ou um abuso não possa reescrever meses de histórico.
Uma revisão de segurança escrita de todo o código foi realizada duas vezes por um modelo externo, a mais recente em 20 de setembro de 2026, e as suas conclusões foram resolvidas.

Anexo IV. Subcontratantes ulteriores

Hetzner Online GmbH (Alemanha)	Alojamento do servidor e cópias de segurança.	Helsínquia, Finlândia (UE)
Scaleway SAS (França)	Envio de correio eletrónico de serviço ao pessoal, por exemplo para repor uma palavra-passe. Nenhum dado de crianças consta de qualquer mensagem.	França (UE)

Ambos estão na União Europeia. Não há nenhum subcontratante ulterior fora da UE, nem qualquer transferência internacional a avaliar.

Esta é uma tradução, publicada para que possa ler o acordo na sua própria língua. Os textos que vigoram são o inglês e o estónio, e a lei estónia aplica-se ao acordo em qualquer dos casos. Se algo aqui não for claro, ou se ler de forma diferente do inglês, é o texto inglês que conta. Pergunte-nos o que quiser sobre ele e respondemos por escrito.