{"id":562,"date":"2026-10-12T09:00:00","date_gmt":"2026-10-12T09:00:00","guid":{"rendered":"https:\/\/leiritech.pt\/blog\/subcontratantes-ia-art-28-rgpd-lista"},"modified":"2026-10-12T09:00:00","modified_gmt":"2026-10-12T09:00:00","slug":"subcontratantes-ia-art-28-rgpd-lista","status":"publish","type":"post","link":"https:\/\/leiritech.pt\/blog\/subcontratantes-ia-art-28-rgpd-lista","title":{"rendered":"IA na tua PME: pede a lista de subcontratantes (art. 28)"},"content":{"rendered":"

"Est\u00e1 tudo alojado na Europa, pode ficar descansado." J\u00e1 ouviste esta frase numa demonstra\u00e7\u00e3o de um assistente de IA. Talvez tenha sido mesmo a frase que te convenceu. O problema \u00e9 que ela responde a uma pergunta que ningu\u00e9m fez. A pergunta que conta \u00e9 outra: quem \u00e9 que toca nos meus dados quando fa\u00e7o uma pergunta ao ERP?<\/strong><\/p>\n

Quando o teu diretor comercial escreve "Quanto fatur\u00e1mos \u00e0 Metal\u00fargica Silva este trimestre e quanto est\u00e1 por receber?", a pergunta n\u00e3o vai para uma \u00fanica caixa. Passa por um servidor que corre o modelo, por uma base de dados que guarda peda\u00e7os de documentos, por um sistema de registos, \u00e0s vezes por um servi\u00e7o de email que envia o resumo semanal e, se for pelo WhatsApp, pela Meta. Cada uma destas pe\u00e7as pode ser de uma empresa diferente. E cada uma delas \u00e9, \u00e0 luz do RGPD, um subcontratante<\/strong> do teu fornecedor.<\/p>\n

\"Dono<\/p>\n

O que diz, afinal, o artigo 28 do RGPD?<\/h2>\n

Sem juridiqu\u00eas: quando uma empresa trata dados pessoais por tua conta (os teus clientes, os teus colaboradores, os contactos dos teus fornecedores), \u00e9 um subcontratante. O artigo 28 diz tr\u00eas coisas que interessam a uma PME que est\u00e1 a contratar um assistente de IA:<\/p>\n

    \n
  1. O teu fornecedor n\u00e3o pode meter outro subcontratante na cadeia sem a tua autoriza\u00e7\u00e3o pr\u00e9via por escrito.<\/strong> A autoriza\u00e7\u00e3o pode ser espec\u00edfica ou geral, mas, se for geral, ele tem de te avisar de cada entrada ou troca e tens de ter a possibilidade de te opor.<\/li>\n
  2. O subcontratante de segunda linha fica sujeito \u00e0s mesmas obriga\u00e7\u00f5es<\/strong> de prote\u00e7\u00e3o de dados que o teu fornecedor assumiu contigo. E, se falhar, quem responde perante ti continua a ser o teu fornecedor.<\/li>\n
  3. Tem de haver um contrato<\/strong> que diga que dados s\u00e3o tratados, para qu\u00ea, durante quanto tempo, o que acontece no fim (apagar ou devolver) e que te permita verificar que as regras s\u00e3o cumpridas.<\/li>\n<\/ol>\n

    Repara no primeiro ponto: n\u00e3o \u00e9 uma boa pr\u00e1tica, \u00e9 uma condi\u00e7\u00e3o. Se n\u00e3o sabes quem s\u00e3o os subcontratantes, n\u00e3o os podes ter autorizado. E o respons\u00e1vel pelo tratamento perante os teus clientes \u00e9s tu, n\u00e3o o fornecedor de IA.<\/p>\n

    Porque \u00e9 que "est\u00e1 na UE" n\u00e3o chega?<\/h2>\n

    Porque a localiza\u00e7\u00e3o \u00e9 s\u00f3 um dos atributos. Um assistente de IA s\u00e9rio sobre o teu ERP tem, tipicamente, estas camadas. V\u00ea o exemplo de uma pergunta sobre cobran\u00e7as a atravess\u00e1-las:<\/p>\n

      \n
    • Infer\u00eancia (GPU).<\/strong> O servidor onde o modelo de linguagem corre. Pode ser do pr\u00f3prio fornecedor, de um alojamento europeu ou de uma API de um grande fornecedor de modelos. \u00c9 aqui que a pergunta e os dados que a sustentam s\u00e3o processados.<\/li>\n
    • Base vetorial.<\/strong> Se o assistente tamb\u00e9m responde sobre documentos (contratos, fichas t\u00e9cnicas, procedimentos), esses documentos s\u00e3o partidos em peda\u00e7os e guardados numa base de dados pr\u00f3pria. Pode ser um servi\u00e7o gerido de terceiros.<\/li>\n
    • Registos e observabilidade.<\/strong> Qualquer sistema bem feito guarda o que se perguntou e o que respondeu. \u00d3timo para a auditoria, mas se esses registos forem enviados para uma ferramenta de monitoriza\u00e7\u00e3o alojada fora, a pergunta "Quanto deve a Metal\u00fargica Silva?" viaja com eles.<\/li>\n
    • Email transacional.<\/strong> O relat\u00f3rio semanal, o alerta de stock, a recupera\u00e7\u00e3o de palavra-passe. Normalmente um servi\u00e7o externo.<\/li>\n
    • Mensagens.<\/strong> Se usas o WhatsApp, a Meta entra na cadeia, quer queiras quer n\u00e3o.<\/li>\n
    • C\u00f3pias de seguran\u00e7a e alojamento base.<\/strong> O disco onde tudo fica e as c\u00f3pias noutro s\u00edtio.<\/li>\n<\/ul>\n

      Seis camadas. Um fornecedor que diz "est\u00e1 na Europa" pode estar a falar s\u00f3 da primeira. Pode ter a GPU em Frankfurt e os registos numa ferramenta de monitoriza\u00e7\u00e3o com servidores nos EUA, que \u00e9 o tipo de detalhe que ningu\u00e9m mostra no diapositivo.<\/p>\n

      E isto n\u00e3o \u00e9 teoria jur\u00eddica de caf\u00e9. O acordo que hoje permite transfer\u00eancias para os EUA, o Data Privacy Framework, foi mantido pelo Tribunal Geral da UE em setembro de 2025, mas est\u00e1 em recurso no Tribunal de Justi\u00e7a desde 31 de outubro de 2025. Os dois acordos anteriores ca\u00edram. N\u00e3o precisas de entrar em p\u00e2nico, precisas de saber que camadas da tua cadeia dependem disso.<\/p>\n

      E o WhatsApp, fica de fora?<\/h2>\n

      N\u00e3o fica, e aqui conv\u00e9m ser honesto, porque quase ningu\u00e9m \u00e9. Desde outubro de 2025, a \u00fanica forma de integrar o WhatsApp numa empresa \u00e9 atrav\u00e9s da Cloud API da Meta. Existe uma op\u00e7\u00e3o de armazenamento local que guarda as mensagens em repouso num pa\u00eds escolhido (na Europa, a Alemanha, por exemplo). Mas a pr\u00f3pria documenta\u00e7\u00e3o da Meta diz que o conte\u00fado em processamento pode estar fora desse pa\u00eds at\u00e9 60 minutos, e que os n\u00fameros de telefone ficam nos centros de dados da Meta independentemente da configura\u00e7\u00e3o.<\/p>\n

      \"Respons\u00e1vel<\/p>\n

      O que isto quer dizer na pr\u00e1tica: "perguntar ao ERP no WhatsApp" \u00e9 \u00fatil e defens\u00e1vel, mas a Meta tem de constar da lista de subcontratantes, e a arquitetura deve minimizar o que passa por ali. Exemplo: a resposta "A Metal\u00fargica Silva tem 3 faturas vencidas, total 12 480 \u20ac" (n\u00famero ilustrativo) \u00e9 diferente de colar no chat o extrato completo com moradas e NIF. O ERP continua na UE; o que sai pela mensagem \u00e9 o m\u00ednimo para a pessoa decidir. Quem te disser que no WhatsApp "nada sai da UE" ou n\u00e3o leu a documenta\u00e7\u00e3o ou espera que tu n\u00e3o leias.<\/p>\n

      O que deve estar na lista que pedes?<\/h2>\n

      N\u00e3o te contentes com uma frase no contrato. Pede uma tabela com uma linha por subcontratante e estas colunas:<\/p>\n

      | Campo | Exemplo do que deves ver |
      \n|—|—|
      \n| Fun\u00e7\u00e3o | Infer\u00eancia do modelo \/ base vetorial \/ registos \/ email \/ mensagens \/ c\u00f3pias |
      \n| Empresa | O nome jur\u00eddico, n\u00e3o a marca comercial |
      \n| Pa\u00eds da sede | Importa para saber a que jurisdi\u00e7\u00e3o a empresa responde |
      \n| Onde ficam os dados | Regi\u00e3o do centro de dados, em repouso e em processamento |
      \n| Que dados recebe | Pergunta e resposta? S\u00f3 metadados? Documentos inteiros? |
      \n| Reten\u00e7\u00e3o | Quanto tempo guarda e se usa para treinar modelos |
      \n| Base para transfer\u00eancia | Se houver sa\u00edda da UE, qual \u00e9 o mecanismo |<\/p>\n

      Depois faz duas perguntas de seguimento. Primeira: como me avisas quando esta lista muda?<\/strong> Se a resposta for "atualizamos a p\u00e1gina do site", pede que seja por email, com prazo para te opores. Segunda: o que acontece aos dados quando terminamos o contrato?<\/strong> O artigo 28 exige que esteja escrito.<\/p>\n

      "Mas isto \u00e9 burocracia para uma empresa de 30 pessoas"<\/h2>\n

      \u00c9 a obje\u00e7\u00e3o mais comum, e percebe-se. S\u00f3 9,4% das pequenas empresas portuguesas usavam IA em 2025, segundo o INE, e a principal barreira era a falta de conhecimentos. Ningu\u00e9m quer acrescentar um parecer jur\u00eddico a um projeto que ainda nem come\u00e7ou.<\/p>\n

      Mas repara no que est\u00e1s a ligar ao assistente: fatura\u00e7\u00e3o, contas correntes, dados de clientes, eventualmente sal\u00e1rios. Se um cliente teu, ou a CNPD, perguntar para onde foram os dados dele, a resposta "o fornecedor disse que era na Europa" n\u00e3o te protege. A lista protege. E custa ao fornecedor uma tarde de trabalho, porque ele, se sabe o que construiu, j\u00e1 a tem. Um fornecedor que demora semanas a produzir esta tabela n\u00e3o tem a cadeia sob controlo.<\/strong> Isso diz-te mais sobre ele do que qualquer demonstra\u00e7\u00e3o.<\/p>\n

      H\u00e1 ainda um efeito lateral \u00fatil: a lista obriga a uma conversa sobre arquitetura. Precisas mesmo de uma base vetorial gerida por terceiros para responder a perguntas sobre vendas e stock? Muitas vezes n\u00e3o. Uma consulta s\u00f3 de leitura ao ERP resolve, e \u00e9 uma camada a menos na cadeia.<\/p>\n

      Como desenhamos isto na Leiritech?<\/h2>\n

      O princ\u00edpio \u00e9 encurtar a cadeia em vez de a documentar depois. A liga\u00e7\u00e3o ao ERP que j\u00e1 tens (PHC ou outro) \u00e9 s\u00f3 de leitura<\/strong>. As perguntas s\u00e3o traduzidas em consultas aos teus dados e cada resposta indica de onde veio o n\u00famero. O acesso \u00e9 por perfil: quem \u00e9 do armaz\u00e9m n\u00e3o v\u00ea margens. Cada pergunta e resposta fica num registo de auditoria<\/strong> que guardamos n\u00f3s, na UE, com hora em UTC e o fuso, para n\u00e3o haver horas repetidas na mudan\u00e7a para a hora de inverno, a 25 de outubro.<\/p>\n

      \"Programador<\/p>\n

      A arquitetura \u00e9 agn\u00f3stica ao modelo: pode correr um modelo pensado para o portugu\u00eas europeu ou outro modelo aberto alojado na UE, conforme o caso e o volume. Seja qual for, entra na tabela com nome, local e reten\u00e7\u00e3o. O WhatsApp \u00e9 opcional e, quando existe, aparece na lista com o limite de 60 minutos escrito, n\u00e3o escondido.<\/p>\n

      E como somos uma equipa pequena de Leiria, a lista n\u00e3o vem de um departamento jur\u00eddico de outro pa\u00eds: vem de quem escreveu o c\u00f3digo e sabe exatamente para onde vai cada byte.<\/p>\n

      Por onde come\u00e7ar?<\/h2>\n

      Antes de assinar com qualquer fornecedor, n\u00f3s inclu\u00eddos, manda um email com uma frase: "Envia-me a lista completa de subcontratantes que v\u00e3o tratar dados da minha empresa, com fun\u00e7\u00e3o, pa\u00eds e reten\u00e7\u00e3o." Mede o tempo de resposta e conta as linhas. Se vier com GPU, base vetorial (se existir), registos, email e mensagens, est\u00e1s a falar com algu\u00e9m que sabe o que montou.<\/p>\n

      Queres perguntar ao teu ERP em portugu\u00eas, sem os dados sa\u00edrem da UE? Fala connosco: hello@leiritech.com \u00b7 +351 914 572 595, ou v\u00ea o nosso trabalho em leiritech.pt.<\/p>\n","protected":false},"excerpt":{"rendered":"

      “Os dados ficam na UE” n\u00e3o chega. V\u00ea quem mais toca nos teus dados de ERP quando um assistente de IA responde: GPU, vetores, logs, email, WhatsApp.<\/p>\n","protected":false},"author":1,"featured_media":557,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[557],"tags":[737,506,508,507,417,736],"class_list":["post-562","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-rgpd","tag-acordo-de-tratamento-de-dados-ia","tag-chatgpt-privado-para-empresas","tag-ia-rgpd-pme","tag-ia-sobre-o-erp","tag-perguntar-ao-erp-no-whatsapp","tag-subcontratantes-rgpd-artigo-28"],"_links":{"self":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts\/562","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/comments?post=562"}],"version-history":[{"count":0,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/posts\/562\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/media\/557"}],"wp:attachment":[{"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/media?parent=562"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/categories?post=562"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/leiritech.pt\/blog\/wp-json\/wp\/v2\/tags?post=562"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}