Data Processing Agreement — One Planet Fund

1. Partes

Responsável pelo tratamento: o Investidor / Lead (titular dos dados).
Subcontratante: One Planet Fund, S.A. ("OPF").

2. Objeto e duração

Este acordo rege o tratamento de dados pessoais necessário à execução do contrato de prestação de serviços de captação e gestão de leads, incluindo KYC, AML, comunicação por email/WhatsApp e relatórios trimestrais. Vigora enquanto o contrato principal estiver activo e até 5 anos após o seu termo, para efeitos de auditoria e conformidade legal.

3. Categorias de dados e titulares

Identificação (nome, email, telefone, país, documento de identidade)
Económicos (gama de investimento, acreditação, retainers pagos)
Comportamentais (interações com chat, email, páginas visitadas, scoring)
KYC/AML (documentos carregados na Vault, status de verificação)

4. Finalidades

Qualificação de investidores, cumprimento de obrigações regulatórias (RGPD, SEC, CCPA), comunicação comercial consentida, geração de relatórios contratuais e cálculo da Net Success Fee.

5. Subprocessadores autorizados

Supabase (Lovable Cloud) — base de dados e autenticação
Resend — envio de email transacional
WhatsApp Business Cloud API — mensageria
Google Analytics 4 / Meta CAPI — métricas agregadas
Modelos de IA Google Gemini e OpenAI GPT — scoring e chat assistido

6. Medidas técnicas e organizativas

Cifragem em trânsito (TLS 1.3) e em repouso (AES-256)
Row Level Security em todas as tabelas com dados pessoais
MFA obrigatório para a equipa backoffice
Logs de auditoria com retenção mínima de 24 meses
Backup semanal automatizado (Art.º 5.7)

7. Direitos do titular

Acesso, retificação, apagamento, portabilidade e oposição. Pedidos para privacy@oneplanetfund.com, com resposta no prazo máximo de 30 dias.

8. Notificação de incidentes

Em caso de violação de dados, OPF notifica o Responsável no prazo máximo de 72 horas e a autoridade de controlo conforme a lei aplicável.

9. Transferências internacionais

Quaisquer transferências para fora do EEE são feitas ao abrigo de Cláusulas Contratuais Tipo (CCT) aprovadas pela Comissão Europeia.

10. Cessação

No fim do contrato, OPF devolve ou apaga todos os dados pessoais, excepto quando obrigada por lei a conservá-los.