Prompt para Contrato de Subcontratação RGPD em Portugal (artigo 28.º) com IA

Toda a gente sabe que o RGPD exige contrato com o subcontratante. Quase ninguém escreve as instruções documentadas, o prazo de notificação de violação, a lista de subcontratantes ulteriores e o destino dos dados no fim. Este prompt escreve as cláusulas que a CNPD vai pedir para ver.

📋Passo a passo: Como redigir a cláusula ou o contrato com IA

Siga este roteiro antes de pedir a peça à IA:

1. Mapeie o tratamento antes de escrever: que dados, de que titulares, para que finalidade, com que fundamento de licitude, por quanto tempo e onde ficam alojados.
2. Determine quem é responsável e quem é subcontratante, e se há responsabilidade conjunta. A qualificação errada contamina o contrato inteiro.
3. Identifique as transferências para fora do Espaço Económico Europeu, incluindo serviços de nuvem e suporte técnico, e a garantia adotada para cada uma.
4. Fixe prazos em horas para a notificação de violação, e o dever de assistência nos pedidos dos titulares.
5. Trate o fim: devolução ou eliminação dos dados no termo do contrato, com comprovativo.

🤖O Prompt Mestre (Copie e Adapte)

Este prompt gera a primeira versão completa da peça. Substitua os campos entre colchetes. Quanto mais específico o preenchimento, melhor a minuta:

Assume o papel de advogado sénior inscrito na Ordem dos Advogados portuguesa, especialista em proteção de dados. Vais redigir ou auditar o contrato de subcontratação exigido pelo artigo 28.º do RGPD (Regulamento (UE) 2016/679), no quadro português da Lei n.º 58/2019, de 8 de agosto.

TAREFA: [REDIGIR] ou [AUDITAR O CONTRATO COLADO ABAIXO] — escolhe uma.

DADOS
- Responsável pelo tratamento: [___]
- Subcontratante: [___]
- Serviço prestado: [___]
- Categorias de dados: [IDENTIFICAÇÃO / CONTACTO / FINANCEIROS / SAÚDE / BIOMÉTRICOS / OUTROS]
- Categorias de titulares: [CLIENTES / TRABALHADORES / UTENTES / OUTROS]
- Finalidade e fundamento de licitude: [___]
- Duração do tratamento: [___]
- Onde ficam alojados: [ESTADO-MEMBRO / FORA DO EEE — INDICA O PAÍS]
- Subcontratantes ulteriores previstos: [___]
- Existe avaliação de impacto? [SIM / NÃO]

SE FOR REDIGIR, produz o contrato com cláusulas numeradas, cobrindo obrigatoriamente:
1. Objeto, duração, natureza e finalidade do tratamento; tipo de dados pessoais e categorias de titulares.
2. Qualificação das partes e delimitação de responsabilidades.
3. Tratamento apenas mediante INSTRUÇÕES DOCUMENTADAS do responsável, incluindo quanto a transferências internacionais, e dever de informar se uma instrução violar a lei.
4. Confidencialidade de quem trata os dados, com compromisso escrito ou obrigação legal.
5. Medidas de segurança adequadas ao risco, descritas de forma concreta: controlo de acessos, cifragem em trânsito e em repouso, registo de acessos, cópias de segurança, testes e formação.
6. Subcontratação ulterior: autorização prévia, específica ou geral com direito de oposição, lista de subcontratantes e transmissão das mesmas obrigações.
7. Assistência ao responsável no cumprimento dos direitos dos titulares, com prazos de resposta em dias.
8. Assistência na segurança, na notificação de violações, na avaliação de impacto e na consulta prévia.
9. VIOLAÇÃO DE DADOS: dever de notificar o responsável sem demora injustificada, com prazo em HORAS, conteúdo mínimo da notificação e cooperação nas medidas corretivas. Recorda que o responsável dispõe, em regra, de 72 horas para notificar a autoridade de controlo.
10. Transferências para fora do Espaço Económico Europeu: identificação do país, mecanismo utilizado e avaliação das garantias.
11. Destino dos dados no termo do contrato: devolução ou eliminação, à escolha do responsável, com prazo e comprovativo.
12. Auditorias e disponibilização das informações necessárias para demonstrar o cumprimento.
13. Registo das atividades de tratamento e encarregado de proteção de dados de cada parte, com contacto.
14. Responsabilidade entre as partes e repartição de eventuais coimas ou indemnizações.

SE FOR AUDITAR, devolve a tabela — Exigência do artigo 28.º | O que o contrato prevê | Lacuna | Redação sugerida — e classifica cada lacuna como crítica, relevante ou menor.

REGRAS
- Marca [CONFERIR] em cada norma que invocares, incluindo os artigos da Lei n.º 58/2019, tendo presente que a CNPD, na Deliberação 494/2019, anunciou a desaplicação de várias das suas normas.
- Não inventes prazos legais. Os prazos contratuais que propuseres devem ser identificados como negociais.
- Não afirmes que um determinado tratamento é lícito: identifica o fundamento invocado e assinala o que falta demonstrar.

REGRAS DE SAÍDA (obrigatórias):
1. Escreve em português europeu, registo forense, na grafia do Diário da República.
2. Onde faltar informação, escreve [FALTA: o que precisas] em vez de inventares facto,
   data, valor ou número de processo.
3. Ao invocares norma, indica o diploma e o artigo e assinala [CONFERIR] quando não
   tiveres a certeza do número exato. Não cites jurisprudência que não te tenha sido dada.
4. Termina com: (a) o que o subscritor tem de conferir antes de assinar; (b) os documentos
   que devem instruir a peça, numerados e com descrição sumária, como a tramitação
   eletrónica exige.

⚡De Prompt a Produto: transforme a IA num Locus (ou use o Locus)

Repare no que um prompt exige de si: para o correr numa IA genérica, tem de entregar os dados reais do processo, colando documentos ou digitando nomes, moradas e factos. Isso obriga-o a um ritual a cada utilização — substituir o que identifica, conferir cada citação depois — e, ainda assim, os dados do seu cliente passam por um responsável que não escolheu, quase sempre fora do Espaço Económico Europeu.

O Locus.IA existe para apagar esse ritual. A Oficina PDF — juntar, dividir, comprimir, proteger e numerar — corre inteiramente no seu computador, mesmo sem ligação à internet: o ficheiro entra pelo disco e sai pelo disco, o que é prático para preparar peças para a Área de Serviços Digitais dos Tribunais, com os documentos numerados e descritos como a Portaria n.º 350-A/2025/1 passou a exigir. Nas funções de inteligência artificial, o programa indexa os documentos na sua máquina e envia ao modelo apenas o texto necessário, por canal cifrado, devolvendo a resposta com o ficheiro e a página de onde tirou cada informação.

E há duas funções que não dependem da jurisdição. A Escrita redige a peça a partir da base que indexou e devolve-a já em Word formatado, com o logótipo e o layout do escritório; se tiver um modelo seu na base, é esse modelo que ela replica — não um formulário de outro país. O Conferir lê a peça ou a minuta contra os documentos que a devem sustentar e cruza campo a campo, devolvendo cada campo como confere, diverge, a confirmar ou não localizado, sempre com o ficheiro de onde saiu o dado. Nenhuma das duas conhece um tribunal em especial, e é isso que as torna úteis em Portugal: trabalham com os seus documentos e com o seu modelo, seja o processo do Juízo Central Cível de Lisboa ou de qualquer outro. Ambas usam inteligência artificial e consomem uma análise de cada vez: na Escrita, para a IA vai só o trecho necessário, com os identificadores trocados por código (os nomes não); o Conferir envia o documento à IA, sob contrato que veda o treino de modelos, e é uma segunda conferência — a última continua a ser a sua.

Duas notas honestas, para não haver surpresa. A assinatura qualificada portuguesa vive no Cartão de Cidadão e na Chave Móvel Digital, e o Locus.IA não as lê: para assinar com equivalência à assinatura autógrafa, nos termos do Decreto-Lei n.º 12/2021, de 9 de fevereiro, continue a usar as ferramentas do Autenticação.gov. Na Escrita e nas perguntas aos documentos, a pseudonimização automática reconhece os identificadores portugueses: NIF, NIPC, NISS, Cartão de Cidadão, passaporte e IBAN são substituídos por marcadores antes do envio ao modelo e reconstituídos no seu computador; os nomes não são mascarados, e no Conferir e no Transcrever a pseudonimização não corre. Os que são dígitos soltos, como o NIF, exigem o rótulo ao lado ("NIF 123456789") — é o que impede o programa de mascarar valores e números de artigo por engano. O que o Locus.IA resolve em Portugal é outra coisa: a leitura e o índice dos documentos ficam no seu computador, e para a IA vai só o trecho necessário.

Quer o enquadramento? Leia o guia da assinatura eletrónica qualificada e da tramitação eletrónica em Portugal, e veja a página do Locus.IA para Portugal, com os valores em euros.

❓Perguntas Frequentes