Acordo de Tratamento de Dados

Versão 1.0 · Última atualização: 30 de maio de 2026

O presente Acordo de Tratamento de Dados (o "DPA") é celebrado ao abrigo do artigo 28 do Regulamento (UE) 2016/679 ("RGPD") e do artigo 28 do Decreto Legislativo italiano 196/2003, alterado pelo Decreto Legislativo 101/2018 (o Código italiano de Proteção de Dados Pessoais), entre a Loja, na qualidade de Responsável pelo Tratamento, e a radioBros, na qualidade de Subcontratante, e regula o tratamento dos dados pessoais dos clientes da Loja no âmbito do serviço TesserApp.

A versão em língua italiana do presente DPA é a versão oficial e prevalece sobre as traduções em caso de divergência.

1. Partes

1.1 Responsável pelo Tratamento: a pessoa singular ou coletiva que se regista na plataforma TesserApp Shop e subscreve o Serviço (doravante a "Loja"). Os dados de identificação da Loja são os introduzidos no momento do registo e alteráveis a partir do painel.

1.2 Subcontratante: radioBros di Alberto Miconi, com sede em Via Ridolfino Venuti 30, 00162 Roma (Itália), número de IVA italiano (Partita IVA) em fase de registo, correio eletrónico de contacto privacy@tesserapp.eu (doravante "radioBros").

As Partes reconhecem mutuamente as qualidades acima descritas, sem prejuízo do papel autónomo da radioBros como Responsável pelo Tratamento relativamente aos tratamentos próprios efetuados na execução da subscrição (faturação, conta da Loja, registos de segurança dos seus próprios sistemas), os quais são regidos pela Política de Privacidade e pelos Termos de Serviço.

2. Definições

Aplicam-se as definições do artigo 4 do RGPD. Adicionalmente:

• "Dados Pessoais": qualquer informação relativa a uma pessoa singular identificada ou identificável na aceção do art. 4, n.º 1, do RGPD, tratada pelo Subcontratante em nome do Responsável pelo Tratamento no âmbito do Serviço.
• "Titular dos Dados": o cliente da Loja que utiliza a aplicação móvel TesserApp e ativa ou utiliza um cartão de fidelização do programa da Loja.
• "Serviço": a plataforma web, as aplicações móveis e os componentes de infraestrutura que a radioBros disponibiliza à Loja para a operação dos seus programas de fidelização.
• "Subcontratante Ulterior": qualquer terceiro contratado pelo Subcontratante para tratar Dados Pessoais, ao abrigo do art. 28, n.º 4, do RGPD. A lista consta do Anexo A.
• "Violação de Dados Pessoais": conforme definida no art. 4, n.º 12, do RGPD.

3. Objeto, duração, natureza e finalidades do tratamento

3.1 A Loja, na qualidade de Responsável pelo Tratamento, encarrega a radioBros, na qualidade de Subcontratante, de tratar os Dados Pessoais dos Titulares dos Dados para as finalidades necessárias à prestação do Serviço e indicadas no presente DPA.

3.2 Objeto: a operação técnica do programa de fidelização da Loja, incluindo a ativação dos cartões de cliente, o registo das transações (selos atribuídos, prémios resgatados, anulações), a sincronização dos cartões com o Apple Wallet e o Google Wallet, o envio de notificações push relacionadas com o programa de fidelização, a apresentação do programa no catálogo da aplicação do consumidor (nos casos em que a Loja tenha optado pela visibilidade pública), a disponibilização de funcionalidades de descoberta baseadas na localização e — para os programas privados — a emissão de um cartão pessoal a favor de um único titular identificado, o envio de um convite de instalação por correio eletrónico e a associação do cartão à conta de dispositivo do titular do cartão.

3.3 Natureza do tratamento: tratamento automatizado realizado na infraestrutura informática do Subcontratante e dos seus Subcontratantes Ulteriores autorizados.

3.4 Finalidades: execução do contrato entre a Loja e os seus próprios clientes relativo ao programa de fidelização; cumprimento das obrigações legais da Loja na qualidade de Responsável pelo Tratamento; segurança dos sistemas de informação e prevenção de fraude nos selos e nos prémios; e, para os programas privados, a entrega de cartões pessoais às pessoas concretas designadas pelo Responsável pelo Tratamento e a restrição de cada um desses cartões à conta de dispositivo do titular do cartão.

3.5 Duração: o presente DPA é eficaz durante toda a duração da subscrição da Loja ao Serviço. As obrigações previstas nos artigos 9 (Devolução e eliminação) e 13 (Confidencialidade) subsistem após a cessação.

4. Categorias de Titulares dos Dados e de Dados Pessoais

4.1 Categorias de Titulares dos Dados: clientes da Loja que utilizam a aplicação do consumidor TesserApp.

4.2 Categorias de Dados Pessoais tratados (Anexo B):

• identificadores anónimos do dispositivo (tokens aleatórios de 256 bits, não associados à identidade de uma pessoa);
• identificadores dos cartões de fidelização (UUID opacos);
• metadados das transações (eventos de atribuição de selos, resgates de prémios, anulações; data, hora e estabelecimento da loja onde a operação teve lugar);
• identificadores dos passes Apple Wallet / Google Wallet e respetivos tokens push;
• endereços IP, tratados exclusivamente de forma transitória nos registos de auditoria para fins de segurança;
• idioma do sistema do dispositivo;
• coordenadas GPS, exclusivamente nos casos em que o Titular dos Dados tenha ativado a funcionalidade de descoberta de lojas próximas e apenas durante o tempo de utilização da funcionalidade;
• endereço de correio eletrónico do Titular dos Dados, exclusivamente se for fornecido voluntariamente pelo Titular dos Dados (pedidos de exercício de direitos ao abrigo do RGPD, contactos ao suporte).

4.2 bis — Apenas programas privados (pessoais): o nome e o endereço de correio eletrónico do titular do cartão, fornecidos pelo Responsável pelo Tratamento com a finalidade de emitir um cartão pessoal e enviar um convite de instalação por correio eletrónico; e uma referência pseudonimizada de associação à conta de dispositivo (um identificador opaco derivado da conta iCloud/Google do titular do cartão), tratada unicamente para garantir que o cartão privado permanece na conta do titular do cartão. O Responsável pelo Tratamento garante que dispõe de fundamento jurídico e, quando exigido, do consentimento do Titular dos Dados para fornecer estes dados; o Subcontratante trata-os exclusivamente com base nas instruções documentadas do Responsável pelo Tratamento.

4.3 Dados NÃO tratados: endereço postal e número de telefone do Titular dos Dados; dados de pagamento do Titular dos Dados (a aplicação não trata pagamentos do cliente à Loja); categorias especiais de dados ao abrigo do art. 9 do RGPD; dados relativos a condenações penais ao abrigo do art. 10 do RGPD; dados de menores de 16 anos (o Serviço não se dirige a essa faixa de idade). Exceção: para os programas privados, o nome e o correio eletrónico do Titular dos Dados são tratados por instrução do Responsável pelo Tratamento (ver §4.2 bis). Para todos os programas padrão/públicos, o nome e o correio eletrónico continuam não tratados.

5. Obrigações do Subcontratante

O Subcontratante compromete-se a:

5.1 tratar os Dados Pessoais apenas com base em instruções documentadas do Responsável pelo Tratamento, incluindo no que respeita a transferências de Dados Pessoais para um país terceiro ou uma organização internacional, salvo se for obrigado a fazê-lo pelo direito da União ou de um Estado-Membro a que o Subcontratante esteja sujeito; nesse caso, o Subcontratante informa o Responsável pelo Tratamento dessa exigência legal antes do tratamento, salvo se esse direito proibir tal informação por motivos importantes de interesse público;

5.2 garantir que as pessoas autorizadas a tratar os Dados Pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade;

5.3 adotar todas as medidas exigidas ao abrigo do art. 32 do RGPD, conforme descritas no Anexo D do presente DPA;

5.4 respeitar as condições referidas nos n.os 2 e 4 do art. 28 do RGPD para a contratação de Subcontratantes Ulteriores, conforme especificado no art. 6 do presente DPA;

5.5 tendo em conta a natureza do tratamento, assistir o Responsável pelo Tratamento através de medidas técnicas e organizativas adequadas, na medida do possível, no cumprimento da obrigação do Responsável pelo Tratamento de responder aos pedidos de exercício dos direitos do Titular dos Dados previstos nos arts. 15-22 do RGPD;

5.6 assistir o Responsável pelo Tratamento a assegurar o cumprimento das obrigações previstas nos arts. 32-36 do RGPD, tendo em conta a natureza do tratamento e as informações à disposição do Subcontratante;

5.7 por opção do Responsável pelo Tratamento, eliminar ou devolver todos os Dados Pessoais após o termo da prestação dos serviços relativos ao tratamento, e eliminar as cópias existentes, salvo se o direito da União ou de um Estado-Membro exigir a conservação dos dados;

5.8 disponibilizar ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações estabelecidas no art. 28 do RGPD e permitir e contribuir para auditorias, incluindo inspeções, realizadas pelo Responsável pelo Tratamento ou por outro auditor por este mandatado;

5.9 informar imediatamente o Responsável pelo Tratamento se, na sua opinião, uma instrução violar o RGPD ou outras disposições de proteção de dados da União ou de um Estado-Membro.

6. Subcontratantes Ulteriores

6.1 A Loja concede pelo presente ao Subcontratante autorização geral para contratar os Subcontratantes Ulteriores enumerados no Anexo A do presente DPA.

6.2 O Subcontratante informará a Loja de quaisquer alterações previstas relativas ao aditamento ou à substituição de outros Subcontratantes Ulteriores com uma antecedência mínima de 30 dias, dando assim à Loja a oportunidade de se opor a tais alterações.

6.3 Em caso de oposição fundamentada da Loja, o Subcontratante avaliará soluções técnicas alternativas. Caso não seja possível evitar o recurso ao novo Subcontratante Ulterior, a Loja poderá cessar a subscrição sem penalização, com efeitos a partir da data em que o novo Subcontratante Ulterior entre em funcionamento.

6.4 O Subcontratante celebra com cada Subcontratante Ulterior um contrato escrito que contém obrigações de proteção de dados equivalentes às estabelecidas no presente DPA, em particular quanto a medidas técnicas e organizativas adequadas, confidencialidade, assistência ao Responsável pelo Tratamento e cooperação com a autoridade de controlo.

6.5 O Subcontratante permanece responsável perante a Loja pela atuação do Subcontratante Ulterior, nos limites previstos no art. 28, n.º 4, do RGPD.

7. Direitos do Titular dos Dados

7.1 Tendo em conta a natureza do tratamento, o Subcontratante assiste o Responsável pelo Tratamento através de medidas técnicas e organizativas adequadas, na medida do possível, no cumprimento da obrigação do Responsável pelo Tratamento de responder aos pedidos de exercício dos direitos do Titular dos Dados previstos no Capítulo III do RGPD (arts. 12-22), e em particular:

• direito de acesso (art. 15);
• direito de retificação (art. 16);
• direito ao apagamento (art. 17), operacionalizado através do fluxo descrito no art. 9 seguinte e na decisão de produto 046 (soft-delete de 30 dias);
• direito à limitação do tratamento (art. 18);
• direito à portabilidade dos dados (art. 20);
• direito de oposição (art. 21);
• direito de não ficar sujeito a uma decisão baseada exclusivamente no tratamento automatizado (art. 22): o Serviço não realiza definição automatizada de perfis com efeitos jurídicos sobre o Titular dos Dados.

7.2 Os pedidos recebidos diretamente pelo Subcontratante são encaminhados sem demora para o Responsável pelo Tratamento, salvo se o Subcontratante estiver autorizado por escrito pelo Responsável pelo Tratamento a responder diretamente.

7.3 O Subcontratante disponibiliza ao Responsável pelo Tratamento ferramentas técnicas acessíveis a partir do painel para: (a) exportar os dados de um Titular dos Dados individual; (b) anonimizar ou eliminar os dados de um Titular dos Dados individual; (c) suspender o tratamento de um Titular dos Dados individual.

8. Notificação de Violação de Dados Pessoais

8.1 Em caso de Violação de Dados Pessoais de que o Subcontratante tome conhecimento, o Subcontratante notifica o evento ao Responsável pelo Tratamento sem demora injustificada e, em qualquer caso, no prazo de 72 horas a contar do momento em que dela tomou conhecimento, fornecendo, na medida do possível, as informações referidas no art. 33, n.º 3, do RGPD e, em particular:

• a natureza da violação, as categorias e o número aproximado de Titulares dos Dados afetados;
• as categorias e o número aproximado de registos de dados pessoais em causa;
• os dados de contacto do ponto de contacto para o incidente;
• as consequências prováveis da violação;
• as medidas adotadas ou propostas para lhe dar resposta e atenuar os seus eventuais efeitos negativos.

8.2 Quando, e na medida em que, não seja possível fornecer as informações simultaneamente, estas podem ser fornecidas por fases, sem demora injustificada adicional.

8.3 Fica entendido que compete ao Responsável pelo Tratamento, ao abrigo dos arts. 33 e 34 do RGPD, decidir se notifica a violação à autoridade de controlo e se a comunica aos Titulares dos Dados.

9. Devolução e eliminação dos Dados Pessoais na cessação

9.1 Após a cessação da subscrição e, em qualquer caso, no prazo de 30 dias a contar da cessação, a Loja pode solicitar ao Subcontratante a exportação integral dos Dados Pessoais num formato estruturado, de uso corrente e de leitura automática (JSON, acessível a partir do painel ou entregue através de URL assinado).

9.2 Decorrido o prazo acima referido sem pedido de exportação, ou após a conclusão da exportação, o Subcontratante procede à eliminação dos Dados Pessoais de acordo com a política de soft-delete do Serviço: os dados são primeiro tornados inacessíveis (soft-delete de 30 dias), após o que são eliminados definitivamente dos sistemas de produção no prazo de 5 dias.

9.3 Estão excluídos da eliminação, pelo tempo estritamente necessário, os Dados Pessoais cuja conservação seja imposta por obrigações legais que vinculam a radioBros (em particular a conservação das faturas por 10 anos ao abrigo do art. 2220 do Código Civil italiano e da legislação fiscal aplicável). Tais dados são mantidos em custódia segregada, com acesso restrito e auditado, e não são objeto de qualquer outro tratamento para além do cumprimento da obrigação.

9.4 A pedido escrito da Loja, o Subcontratante emite uma declaração formal de eliminação concluída.

10. Transferências internacionais de dados

10.1 O Subcontratante trata os Dados Pessoais exclusivamente em infraestrutura localizada no Espaço Económico Europeu, com preferência por centros de dados em Itália ou na Alemanha.

10.2 Alguns Subcontratantes Ulteriores enumerados no Anexo A podem ter sede ou operações nos Estados Unidos (em particular a Stripe, a Apple e a Google). As transferências de Dados Pessoais para essas entidades são efetuadas com base nas Cláusulas Contratuais-Tipo adotadas pela Comissão Europeia através da Decisão 2021/914/UE, complementadas por medidas adicionais quando necessário à luz do acórdão do TJUE C-311/18 (Schrems II).

10.3 Não são efetuadas transferências para países terceiros fora do quadro das Cláusulas Contratuais-Tipo ou de uma decisão de adequação da Comissão.

11. Medidas técnicas e organizativas

As medidas técnicas e organizativas adotadas pelo Subcontratante ao abrigo do art. 32 do RGPD estão descritas no Anexo D do presente DPA, que dele faz parte integrante. Tais medidas estão sujeitas a atualização periódica para refletir o estado da técnica; nenhuma atualização pode resultar numa redução do nível de segurança garantido.

12. Auditoria

12.1 O Subcontratante disponibiliza ao Responsável pelo Tratamento, a pedido escrito, as informações necessárias para demonstrar o cumprimento das obrigações previstas no art. 28 do RGPD e no presente DPA.

12.2 O Responsável pelo Tratamento pode solicitar, uma vez por ano civil, a realização de uma auditoria, a efetuar com um pré-aviso escrito de, no mínimo, 30 dias, em horário de expediente, nas instalações do Subcontratante, de forma a não interferir com a continuidade operacional do Serviço e no respeito pelas medidas de segurança em vigor.

12.3 Os custos diretos da auditoria são suportados pelo Responsável pelo Tratamento, salvo se a auditoria revelar incumprimentos significativos do presente DPA imputáveis ao Subcontratante, caso em que os custos são suportados pelo Subcontratante.

12.4 Em substituição da auditoria no local, o Subcontratante pode oferecer a apresentação de relatórios de auditores terceiros independentes (por exemplo, SOC 2, ISO 27001, quando disponíveis) e de documentação equivalente.

13. Confidencialidade

13.1 As Partes comprometem-se a tratar como estritamente confidenciais todas as informações obtidas na execução do presente DPA, exceto as informações de domínio público ou cuja divulgação seja exigida por lei ou por ordem da autoridade.

13.2 A obrigação de confidencialidade estende-se aos trabalhadores, colaboradores e Subcontratantes Ulteriores das Partes e subsiste após a cessação do presente DPA.

14. Responsabilidade e indemnização

14.1 Cada Parte é responsável pelos danos causados pelo seu tratamento que viole o RGPD, nos limites e nos termos previstos no art. 82 do RGPD.

14.2 Nas relações internas entre as Partes, a responsabilidade da radioBros perante a Loja pelo tratamento dos Dados Pessoais rege-se pela cláusula de limitação de responsabilidade constante dos Termos de Serviço, salvo em casos de dolo ou de negligência grosseira e sem prejuízo da responsabilidade perante o Titular dos Dados ao abrigo do RGPD.

14.3 A Loja garante e mantém a radioBros indemne de qualquer reclamação resultante do incumprimento, por parte da Loja, das suas próprias obrigações como Responsável pelo Tratamento ao abrigo do RGPD (em particular: informação adequada aos Titulares dos Dados nos termos dos arts. 13-14 do RGPD; fundamento jurídico adequado para o tratamento; correção das instruções dadas ao Subcontratante).

15. Duração, alterações e disposições finais

15.1 Duração. O presente DPA é eficaz a partir da data de aceitação pela Loja no momento do registo (através de uma caixa de seleção dedicada) e durante toda a duração da subscrição do Serviço. As obrigações de devolução/eliminação (art. 9) e de confidencialidade (art. 13) subsistem após a cessação.

15.2 Alterações. As alterações substanciais do presente DPA serão comunicadas à Loja com uma antecedência mínima de 30 dias, por correio eletrónico para o endereço registado na conta e através de um banner dedicado no painel. Será exigido à Loja que volte a aceitar a nova versão no início de sessão seguinte. A não aceitação confere o direito de cessar a subscrição sem penalização.

15.3 Língua. A versão em língua italiana do presente DPA é a versão oficial e prevalece sobre as traduções em caso de divergência.

15.4 Lei aplicável e jurisdição. O presente DPA é regido pela lei italiana. Qualquer litígio está sujeito à jurisdição exclusiva do Tribunal de Roma.

15.5 Registo da aceitação. A aceitação do DPA é registada pelo Subcontratante mediante o registo de: denominação legal da Loja, correio eletrónico do utilizador que efetuou a aceitação, endereço IP, marca temporal e versão do DPA aceite. Estes dados constituem prova da aceitação ao abrigo dos arts. 20 e 21 do Decreto Legislativo italiano 82/2005 (Código da Administração Digital).

---

Anexo A — Subcontratantes Ulteriores autorizados

Subcontratante Ulterior	Sede	Função	Categorias de dados	Base da transferência
Stripe Payments Europe Ltd.	Irlanda (grupo com operações nos EUA)	Processamento dos pagamentos da subscrição da Loja; emissão de faturas	Dados de pagamento e fiscais da própria Loja (não do Titular dos Dados)	CCT 2021/914/UE
Cloudflare, Inc.	EUA (armazenamento R2 configurado em região da UE)	Armazenamento de objetos para cópias de segurança e ativos; CDN para a entrega de recursos estáticos	Cópias de segurança cifradas; nenhum PII em claro	CCT 2021/914/UE
Resend (resend.com)	UE	Envio de mensagens de correio eletrónico transacionais	Endereço de correio eletrónico do Titular dos Dados (apenas nos casos previstos no art. 4.2 alínea h) do DPA)	Tratamento na UE
Apple Inc.	EUA	Entrega dos passes Apple Wallet através de APNs	Tokens push, identificadores do passe	CCT 2021/914/UE
Google LLC	EUA	Entrega dos passes Google Wallet através de FCM e da Google Wallet API	Tokens push, identificadores do passe	CCT 2021/914/UE
Contabo GmbH	Alemanha	Alojamento VPS dos sistemas de produção	Todos os Dados Pessoais objeto do Serviço	Tratamento na UE
FontAwesome, Inc.	EUA	CDN de ícones estáticos (SVG, sem rastreio)	Sem PII	Endereços IP dos visitantes do site, tratados de forma transitória

A lista atualizada está disponível no painel da Loja, na secção "Privacidade → Subcontratantes Ulteriores".

Anexo B — Categorias de dados e prazos de conservação

Categoria	Conservação	Fundamento jurídico
Identificadores dos cartões de fidelização (UUID)	Até que o Cliente os elimine ou até à cessação da subscrição da Loja, mais 30 dias de soft-delete, mais eliminação no prazo de 5 dias	Execução do contrato do programa de fidelização
Metadados das transações (selos, prémios, anulações)	24 meses ativos para fins de reconciliação e prevenção de fraude; posteriormente arquivados com referências pseudonimizadas	Interesse legítimo do Responsável pelo Tratamento na segurança do programa
Identificadores dos passes Apple/Google Wallet	Até à remoção do passe pelo Titular dos Dados da carteira nativa	Execução do contrato do programa de fidelização
Coordenadas GPS (utilização da funcionalidade de descoberta)	Não conservadas além da sessão de utilização da funcionalidade	Consentimento do Titular dos Dados (art. 6.1.a do RGPD)
Endereços IP nos registos de auditoria	Anulados no momento da eliminação definitiva do cartão do Titular dos Dados	Interesse legítimo na segurança
Correio eletrónico do Titular dos Dados (se fornecido)	30 dias a contar da conclusão do procedimento para o qual foi fornecido	Execução de um pedido do Titular dos Dados
Faturas da subscrição da Loja	10 anos	Obrigação legal (art. 2220 do Código Civil italiano e legislação fiscal aplicável)

Anexo C — Direitos do Titular dos Dados e formas de exercício

A Loja é a primeira destinatária dos pedidos de exercício de direitos ao abrigo do RGPD apresentados pelos seus próprios clientes. A radioBros assiste a Loja disponibilizando:

• uma consola de gestão de direitos integrada no painel da Loja, para a exportação e a eliminação dos dados de um Titular dos Dados individual;
• a possibilidade de solicitar diretamente à radioBros, em privacy@tesserapp.eu, o exercício dos direitos, que serão encaminhados sem demora para a Loja;
• um sistema de pista de auditoria, acessível em qualquer momento pela Loja, que regista a data do pedido, o tipo de direito exercido, a data da resposta e as ações realizadas.

Prazos indicativos de resposta (máximos ao abrigo do art. 12 do RGPD): 30 dias a contar do pedido, prorrogáveis por mais 60 dias em caso de complexidade, com informação ao Titular dos Dados.

Anexo D — Medidas técnicas e organizativas (art. 32 do RGPD)

D.1 Confidencialidade

• Cifragem em trânsito através de TLS 1.2 ou superior em todos os endpoints expostos.
• Cifragem em repouso com AES-256 das cópias de segurança da base de dados e dos objetos no Cloudflare R2 (SSE).
• Hashing dos tokens de autenticação com o algoritmo argon2id, com parâmetros compatíveis com as diretrizes OWASP.
• Hashing das palavras-passe das contas da Loja com argon2id; nunca é armazenada qualquer palavra-passe em texto simples.
• Segregação de ambientes (produção, staging, desenvolvimento) com credenciais distintas e sem acesso aos dados de produção a partir de ambientes não produtivos.

D.2 Integridade

• Controlo de acesso baseado em funções (RBAC) na infraestrutura de produção.
• Registo de auditoria de todas as operações administrativas, conservado em armazenamento append-only.
• Versionamento das migrações do esquema da base de dados com uma cadeia de hashes verificável.

D.3 Disponibilidade e resiliência

• Cópias de segurança automáticas diárias da base de dados com recuperação para um ponto no tempo (PITR) através de WAL streaming (pgBackRest).
• Exercícios de restauro documentados, no mínimo anualmente.
• Monitorização da infraestrutura em tempo real, com alarmes sobre anomalias de segurança e de disponibilidade.
• Limitação da taxa de pedidos (rate limiting) nos endpoints públicos, anti-DDoS perimetral através da Cloudflare.

D.4 Procedimentos de verificação

• Teste de intrusão externo anual.
• Revisão interna semestral das configurações de segurança.
• Gestão de vulnerabilidades com SLA definidos para a correção (críticas: 7 dias; elevadas: 30 dias; médias: 90 dias).

D.5 Continuidade do tratamento

• Procedimentos documentados de recuperação de desastres e de gestão de incidentes.
• Substituibilidade dos Subcontratantes Ulteriores de infraestrutura em prazos razoáveis, quando necessário.

D.6 Gestão de incidentes

• Procedimento interno de gestão de Violações de Dados Pessoais com um responsável dedicado, ativável 24/7.
• Cadeia de notificação predefinida para assegurar o cumprimento do prazo de 72 horas referido no art. 8 do presente DPA.

---

Contactos

• Subcontratante: radioBros di Alberto Miconi, Via Ridolfino Venuti 30, 00162 Roma (Itália), número de IVA italiano (Partita IVA) em fase de registo.
• Correio eletrónico para qualquer questão relativa ao presente DPA: privacy@tesserapp.eu.
• Autoridade de controlo principal da radioBros: Autoridade italiana de proteção de dados (Garante) — gpdp.it. As Lojas estabelecidas noutros Estados-Membros da UE podem também contactar a respetiva autoridade de controlo local.

---

Versão 1.0 — adotada em 30 de maio de 2026. As versões históricas, quando disponíveis, são arquivadas em formato PDF nos URL https://tesserapp.eu/legal/dpa/v{version}.pdf.