Acordo de Tratamento de Dados (RGPD, art. 28.º): AI Studio by PWF Scaling

1. Partes e aceitação

• Responsável pelo tratamento ("Cliente"): a pessoa ou empresa que subscreve o AI Studio, quanto aos dados pessoais dos seus próprios contactos (clientes, potenciais clientes, visitantes que preenchem formulários, pessoas com marcações e destinatários de mensagens) que guarda ou trata no AI Studio.
• Subcontratante ("nós"): PWF Scaling · identificação completa no Aviso legal · gerson.t@pwfscaling.com.
• O Cliente aceita este acordo ao assinalar a caixa dos Termos no registo (período grátis) e de novo no pagamento (subscrição paga). Aplica-se enquanto o contrato durar e até apagarmos os dados (secção 11). Em matéria de proteção de dados, prevalece sobre os Termos. Os dados que tratamos como responsáveis (a sua conta, faturação e pagamentos) estão na Política de Privacidade, não neste acordo.

2. Objeto

Tratamos os dados pessoais dos contactos do Cliente apenas para lhe prestar o AI Studio (alojamento de sites e formulários, CRM, marcações, envio de e-mails, SMS e WhatsApp, automatizações e funções de IA), como descrito no Anexo 1.

3. Instruções

Tratamos os dados apenas segundo as instruções documentadas do Cliente: os Termos, este acordo, as definições e ações que o Cliente faz na sua conta e os pedidos que nos envie por escrito (e-mail). Não usamos os dados para fins próprios nem os vendemos. Se uma instrução nos parecer contrária ao RGPD ou a outra lei de proteção de dados, avisamos de imediato. Se a lei nos obrigar a um tratamento, informamos o Cliente antes, salvo se a lei o proibir.

4. Confidencialidade

Só acedem aos dados as pessoas autorizadas por nós que deles precisem para prestar o serviço (por exemplo, para responder a um pedido de suporte do Cliente), e todas estão sujeitas a um dever de confidencialidade, contratual ou legal.

5. Segurança

Aplicamos medidas técnicas e organizativas adequadas ao risco (RGPD, art. 32.º), descritas no Anexo 2, e revemo-las periodicamente.

6. Subcontratantes ulteriores

• O Cliente dá-nos uma autorização geral para recorrer aos subcontratantes ulteriores do Anexo 3, incluindo a HighLevel, Inc. (a plataforma em que o AI Studio funciona) e os subcontratantes que a HighLevel publica em https://www.gohighlevel.com/sub-processors.
• Impomos a cada subcontratante ulterior, por contrato, obrigações de proteção de dados equivalentes às deste acordo, e continuamos responsáveis perante o Cliente pelo seu cumprimento.
• Alterações: avisamos o Cliente por e-mail antes de acrescentar ou substituir um subcontratante ulterior, com pelo menos 15 dias de antecedência ou, se a HighLevel nos der um prazo menor, logo que formos informados. O Cliente pode opor-se por e-mail, com motivos razoáveis, nesse prazo. Se não encontrarmos uma solução, o Cliente pode resolver o contrato sem penalização, e devolvemos a parte já paga do mês que não vai usar.

7. Transferências internacionais

Alguns subcontratantes ulteriores tratam dados fora do Espaço Económico Europeu, sobretudo nos EUA e na Índia (Anexo 3). Só transferimos dados com garantias adequadas (RGPD, capítulo V):

• A HighLevel, Inc. está certificada no Quadro de Privacidade de Dados UE-EUA (EU-U.S. Data Privacy Framework; decisão de adequação da Comissão de 10 de julho de 2023), e o seu acordo de tratamento de dados inclui as cláusulas contratuais-tipo da Comissão Europeia (Decisão de Execução (UE) 2021/914).
• Para os restantes subcontratantes fora do EEE (incluindo a HighLevel India), as transferências assentam nas cláusulas contratuais-tipo e/ou na certificação do destinatário no Quadro de Privacidade de Dados.

O Cliente pode pedir-nos uma cópia das garantias aplicáveis.

8. Pedidos dos titulares dos dados

O AI Studio permite ao Cliente consultar, corrigir, exportar e apagar os contactos e os seus dados, e gerir cancelamentos de subscrição de mensagens. Se recebermos diretamente um pedido de um contacto do Cliente (acesso, retificação, apagamento, oposição, portabilidade ou limitação), encaminhamo-lo ao Cliente sem demora injustificada e não respondemos por nossa conta, salvo instrução do Cliente. Ajudamos o Cliente, na medida do razoável, a cumprir esses pedidos.

9. Violações de dados pessoais

Se tomarmos conhecimento de uma violação de dados pessoais que afete os dados do Cliente, notificamos o Cliente por e-mail sem demora injustificada e, em qualquer caso, no prazo de 48 horas após tomarmos conhecimento, com a informação disponível: natureza da violação, categorias e número aproximado de titulares e de registos, consequências prováveis, medidas tomadas ou propostas e um contacto. Completamos a informação à medida que a obtivermos e ajudamos o Cliente a notificar a CNPD e os titulares, quando necessário (RGPD, arts. 33.º e 34.º).

10. Outra assistência

Ajudamos o Cliente, na medida do razoável e tendo em conta a informação de que dispomos, a cumprir as obrigações dos arts. 32.º a 36.º do RGPD (segurança, violações, avaliações de impacto e consulta prévia).

11. Fim do contrato: devolução e apagamento

Até ao fim do acesso, o Cliente pode exportar os seus contactos e dados na conta, ou pedir-nos uma exportação. Depois do fim do acesso (que, após o cancelamento, é o fim do período pago), guardamos os dados durante 30 dias para permitir uma exportação a pedido, e depois apagamo-los, bem como as cópias, salvo se a lei exigir a sua conservação. As cópias de segurança da plataforma são apagadas nos ciclos normais do fornecedor; até lá ficam protegidas e não são usadas. A pedido, confirmamos o apagamento por escrito.

12. Informação e auditorias

Disponibilizamos ao Cliente a informação necessária para demonstrar o cumprimento deste acordo, incluindo este acordo, a lista de subcontratantes ulteriores e a documentação de proteção de dados da HighLevel (acordo de tratamento de dados e medidas de segurança). O Cliente, ou um auditor por si mandatado e sujeito a confidencialidade, pode realizar uma auditoria ou inspeção mediante pedido por escrito com 30 dias de antecedência, no máximo uma vez por cada 12 meses (salvo violação de dados ou pedido de uma autoridade de controlo), a expensas do Cliente e sem perturbar o serviço. Para a plataforma HighLevel, a auditoria faz-se com base na documentação e nos relatórios que a HighLevel disponibiliza.

13. Obrigações do Cliente

O Cliente garante que tem fundamento jurídico para os dados que coloca no AI Studio, que informa os seus contactos (por exemplo, com uma política de privacidade no seu site) e que obtém os consentimentos necessários, nomeadamente para marketing por SMS, e-mail e WhatsApp (Lei 41/2004). O Cliente não deve introduzir categorias especiais de dados (art. 9.º do RGPD, por exemplo dados de saúde) sem necessidade e sem fundamento jurídico. O WhatsApp dos planos Growth e Ultra funciona na conta WhatsApp Business do próprio Cliente, ao abrigo dos termos que o Cliente aceita diretamente com a Meta.

14. Responsabilidade

A responsabilidade de cada parte segue o art. 82.º do RGPD e a secção 11 dos Termos.

Anexo 1: Descrição do tratamento

• Titulares: contactos do Cliente: clientes, potenciais clientes, visitantes que preenchem formulários no site do Cliente, pessoas com marcações, destinatários de e-mails, SMS e WhatsApp, autores de avaliações; utilizadores da conta indicados pelo Cliente.
• Dados: nome, telefone, e-mail, morada ou localidade, conteúdo de formulários e mensagens, dados de marcações, notas, etiquetas, histórico de chamadas, SMS, e-mails e WhatsApp, pedidos de avaliação e, quando o Cliente os ativa no seu site, dados técnicos (IP, cookies).
• Natureza: alojamento, armazenamento, organização, consulta, envio de mensagens, automatizações, geração de texto e páginas com IA, configuração da conta e do site a pedido do Cliente, apagamento.
• Finalidade: prestar o AI Studio ao Cliente.
• Duração: enquanto o contrato durar, mais 30 dias após o fim do acesso (secção 11).

Anexo 2: Medidas técnicas e organizativas

• Plataforma (HighLevel), segundo o seu acordo de tratamento de dados: dados em repouso cifrados (AES-256) e em trânsito cifrados (TLS 1.2 ou superior); autenticação de dois fatores; proteção dos equipamentos; monitorização de segurança; alojamento em Google Cloud e Amazon Web Services.
• Contas: cada conta AI Studio é uma subconta separada; acesso com login individual; o Cliente controla os seus utilizadores.
• PWF Scaling: acesso às contas dos clientes só quando necessário para o suporte ou a pedido do Cliente; autenticação de dois fatores e palavras-passe únicas nas contas de administração e no e-mail; equipamentos com disco cifrado, bloqueio automático e atualizações de segurança; dados de clientes não guardados fora da plataforma, salvo o estritamente necessário para suporte, e apagados quando já não são precisos; procedimento de resposta a incidentes (secção 9); confidencialidade (secção 4).

Anexo 3: Subcontratantes ulteriores autorizados

Subcontratantes da HighLevel (lista publicada em https://www.gohighlevel.com/sub-processors, versão "última modificação: setembro de 2025"):

A HighLevel pode atualizar esta lista; aplicamos então a secção 6.

Data Processing Agreement (GDPR Art. 28): AI Studio by PWF Scaling (EN, courtesy translation; the Portuguese version prevails)

Version dpa-v2.2-2026-10-17 · Last updated: 17 October 2026 · Part of the Terms and Conditions.

1. Parties and acceptance. Controller ("Client"): the person or business subscribing to AI Studio, for the personal data of their own contacts (customers, leads, visitors who submit forms, people with bookings, message recipients) held or processed in AI Studio. Processor ("we"): PWF Scaling · full identification in the Legal notice · gerson.t@pwfscaling.com. The Client accepts this agreement by ticking the Terms box at signup (free trial) and again at payment (paid subscription). It applies for the term of the contract and until the data is deleted (section 11), and prevails over the Terms on data protection. Data we process as controller (your account, billing, payments) is covered by the Privacy Policy, not this agreement.
2. Subject matter. We process the Client's contacts' personal data only to provide AI Studio (site and form hosting, CRM, bookings, email, SMS and WhatsApp sending, automations and AI features), as described in Annex 1.
3. Instructions. We process the data only on the Client's documented instructions: the Terms, this agreement, the settings and actions in the Client's account, and written (email) requests. We don't use the data for our own purposes or sell it. We tell the Client immediately if an instruction seems to breach the GDPR or other data protection law. If the law requires us to process data, we tell the Client first unless the law forbids it.
4. Confidentiality. Only people we authorise who need the data to provide the service (e.g. to answer a support request) can access it, and all are bound by confidentiality, contractual or statutory.
5. Security. We apply technical and organisational measures appropriate to the risk (GDPR Art. 32), listed in Annex 2, and review them periodically.
6. Sub-processor. The Client gives general authorisation for the sub-processors in Annex 3, including HighLevel, Inc. (the platform AI Studio runs on) and the sub-processors HighLevel publishes at https://www.gohighlevel.com/sub-processors. We impose equivalent data protection obligations on each by contract and remain liable to the Client for them. Changes: we email the Client before adding or replacing a sub-processor, at least 15 days in advance or, if HighLevel gives us shorter notice, as soon as we're told. The Client may object by email, with reasonable grounds, within that period; if we can't find a solution, the Client may terminate without penalty and we refund the prepaid, unused part of the month.
7. International transfers. Some sub-processors process data outside the EEA, mainly in the US and India (Annex 3). We only transfer data with appropriate safeguards (GDPR Chapter V): HighLevel, Inc. is certified under the EU-U.S. Data Privacy Framework (Commission adequacy decision of 10 July 2023) and its data processing agreement includes the European Commission's Standard Contractual Clauses (Implementing Decision (EU) 2021/914). Other non-EEA sub-processors (incl. HighLevel India) rely on the SCCs and/or the recipient's Data Privacy Framework certification. The Client may ask us for a copy of the applicable safeguards.
8. Data subject requests. AI Studio lets the Client view, correct, export and delete contacts and their data and manage message unsubscribes. If we receive a request directly from one of the Client's contacts, we forward it to the Client without undue delay and don't answer it ourselves unless instructed. We reasonably assist the Client in meeting such requests.
9. Personal data breaches. If we become aware of a personal data breach affecting the Client's data, we notify the Client by email without undue delay and in any event within 48 hours of becoming aware, with the information available (nature, categories and approximate numbers of data subjects and records, likely consequences, measures taken or proposed, a contact), add information as we get it, and help the Client notify the CNPD and data subjects where required (GDPR Arts. 33–34).
10. Other assistance. We reasonably assist the Client with GDPR Arts. 32–36 (security, breaches, impact assessments, prior consultation), taking into account the information available to us.
11. End of contract: return and deletion. Until access ends the Client can export their contacts and data in the account or ask us for an export. After access ends (after cancellation, the end of the paid period) we keep the data for 30 days so an export can still be requested, then delete it and any copies, unless the law requires us to keep it. Platform backups are deleted in the provider's normal cycles and stay protected and unused until then. We confirm deletion in writing on request.
12. Information and audits. We make available the information needed to demonstrate compliance, including this agreement, the sub-processor list and HighLevel's data protection documentation (data processing agreement and security measures). The Client, or an auditor it mandates who is bound by confidentiality, may carry out an audit or inspection on 30 days' written notice, at most once every 12 months (except after a data breach or at a supervisory authority's request), at the Client's cost and without disrupting the service. For the HighLevel platform, audits rely on the documentation and reports HighLevel provides.
13. Client obligations. The Client warrants a lawful basis for the data it puts into AI Studio, informs its contacts (e.g. a privacy policy on its site) and obtains the consents required, notably for SMS, email and WhatsApp marketing (PT Lei 41/2004). The Client shouldn't enter special-category data (GDPR Art. 9, e.g. health data) without need and a legal basis. WhatsApp on the Growth and Ultra plans runs on the Client's own WhatsApp Business account, under terms the Client accepts directly with Meta.
14. Liability. Each party's liability follows GDPR Art. 82 and section 11 of the Terms.

Annex 1: processing details. Data subjects: the Client's contacts (customers, leads, visitors who submit forms on the Client's site, people with bookings, recipients of emails/SMS/WhatsApp, reviewers) and account users the Client adds. Data: name, phone, email, address or town, form and message content, booking details, notes, tags, call/SMS/email/WhatsApp history, review requests and, where the Client enables them on its site, technical data (IP, cookies). Nature: hosting, storage, organisation, retrieval, message sending, automations, AI text and page generation, account and site setup at the Client's request, deletion. Purpose: providing AI Studio to the Client. Duration: the contract term plus 30 days after access ends.

Annex 2: technical and organisational measures. Platform (HighLevel, per its data processing agreement): data encrypted at rest (AES-256) and in transit (TLS 1.2+); two-factor authentication; endpoint protection; security monitoring; hosting on Google Cloud and Amazon Web Services. Accounts: each AI Studio account is a separate sub-account with individual logins; the Client controls its users. PWF Scaling: access to client accounts only when needed for support or at the Client's request; two-factor authentication and unique passwords on admin and email accounts; devices with disk encryption, auto-lock and security updates; client data not kept outside the platform except as strictly needed for support, and deleted when no longer needed; incident response procedure (section 9); confidentiality (section 4).

Annex 3: authorised sub-processors. HighLevel, Inc. (1801 N. Lamar St., Suite 600, Dallas, Texas 75202, USA): AI Studio platform (sites, forms, CRM, bookings, email, SMS, WhatsApp, automations, AI); USA; EU-U.S. Data Privacy Framework + SCCs. Microsoft Ireland Operations Ltd. (Microsoft 365): support email (gerson.t@pwfscaling.com) when the Client sends us data; EU. Meta Platforms Ireland Ltd.: WhatsApp messaging (Growth and Ultra plans); Ireland (EU); within the EU; WhatsApp Business Data Processing Terms. HighLevel's sub-processors (list at https://www.gohighlevel.com/sub-processors, "last modified September 2025"): Google Cloud Services and Amazon Web Services, Inc. (data storage, USA); Twilio, Mailgun and LeadConnector LLC (communication services and support, USA); OpenAI, BotPress, RetellAI and Synthflow (AI features, USA); Stripe and Chargebacks911 (payments, USA); Pendo, ChartMogul, People Data Labs and Mozart Data (data analytics, USA); Freshworks (customer support and communication, USA); Zapier (workflow automation, USA); Persona Identities (identity verification, USA); HighLevel India (HighLevel services and support, India). HighLevel may update this list; section 6 then applies.