Software houses e SaaS
Contratos de subcontratação, subcontratantes ulteriores, questionários de segurança dos clientes.
RGPD, art. 28.ºLisboa e Vale do Tejo
Encarregado de proteção de dados na região de Lisboa e Vale do Tejo
Empresas de software, plataformas e serviços partilhados: aqui a proteção de dados aparece primeiro nos contratos com os clientes.
Resposta curta: uma empresa de software que trata dados por conta dos clientes é subcontratante e pode ter de designar um EPD se a sua atividade principal implicar controlo sistemático em grande escala (art. 37.º RGPD e art. 13.º da Lei 58/2019). Mesmo quando não é obrigatório, muitos clientes exigem-no no contrato.
§
Quem fiscaliza: CNPD e ANACOM
A CNPD fiscaliza os dados pessoais. Para o AI Act, a ANACOM foi indicada como autoridade de fiscalização do mercado e ponto de contacto único.
Lisboa e Vale do Tejo
Quando é o cliente que pede o EPD
Para uma startup que vende software a bancos, seguradoras ou hospitais, o primeiro contacto com o RGPD é muitas vezes um questionário de segurança de quarenta páginas.
Entre as perguntas está quase sempre o nome do encarregado de proteção de dados. Não ter resposta pode atrasar ou bloquear a venda, mesmo quando a lei não obriga.
A isto junta-se a inteligência artificial: quem integra modelos de IA no produto pode ser fornecedor ou responsável pela implantação no sentido do AI Act, com obrigações diferentes.
2 de fevereiro de 2025
Práticas proibidas e literacia em IA (art. 4.º e 5.º do AI Act).
2 de agosto de 2025
Modelos de IA de finalidade geral e autoridades nacionais.
2 de agosto de 2026
Transparência (art. 50.º) e regime geral de aplicação.
2 de dezembro de 2026
Marcação de conteúdos gerados, para sistemas já no mercado antes de 2/8/2026 (art. 50.º, n.º 2, obrigação do fornecedor).
2 de dezembro de 2027
Sistemas de risco elevado do anexo III, como recrutamento e crédito.
Pontos frequentes Lisboa e Vale do Tejo
Centros de serviços partilhados
Tratamento para empresas do grupo em vários países e transferências intragrupo.
RGPD, art. 26.º e 46.ºFintech e seguros
Perfis de clientes, decisões automatizadas e sistemas de IA para crédito.
RGPD, art. 22.º; AI Act, anexo IIILeia tambémCondomínios e administração de condomíniosGinásios e clubes desportivosMediação imobiliáriaEncarregado de proteção de dados: quem é obrigadoViolação de dados: o que fazer em 72 horasInteligência artificial e proteção de dadosCookies e marketing por e-mailRegisto das atividades de tratamentoFerramenta: precisamos de EPD?
Acompanhamos organizações de toda a região, à distância: reuniões por vídeo, documentos partilhados e respostas por escrito, em português. Algumas localidades da região:
LisboaSintraCascaisAlmadaSetúbalSantarém
Perguntas frequentes: Lisboa e Vale do Tejo
Uma startup com dez pessoas precisa de EPD?
Depende do que o produto faz, não do número de pessoas. Se a atividade principal for monitorizar utilizadores em grande escala, por exemplo com rastreamento ou perfis, a designação é obrigatória.
Quem fiscaliza o AI Act em Portugal?
A ANACOM foi indicada como autoridade de fiscalização do mercado e ponto de contacto único, com outras entidades setoriais. Segundo as informações disponíveis em outubro de 2026, o diploma nacional sobre competências e coimas ainda não tinha sido publicado.
O EPD pode ser de outro país da UE?
Sim. O RGPD exige que o EPD seja facilmente acessível e tenha conhecimentos especializados, não que resida em Portugal. Por isso trabalhamos com um colaborador em Portugal para o contacto em português.
Atualizado em 30 de outubro de 2026 · Pietro Cravero, encarregado de proteção de dados certificado (IDcert).
A sua organização está na região de Lisboa e Vale do Tejo?
Primeira avaliação gratuita: vemos a situação e respondemos por escrito com o que falta e por que ordem.