Termos de tratamento de dados pessoais aplicáveis quando a KambaSMS atua como subcontratante ao abrigo da Lei n.º 22/11, de 17 de Junho (Lei da Proteção de Dados Pessoais de Angola).
A KambaSMS trata os números de telefone (+244) e metadados das mensagens exclusivamente segundo as instruções do Cliente para entrega transacional e verificação (OTP/2FA), sem comercialização nem uso promocional.
No âmbito da utilização da API, SDKs e Dashboard da KambaSMS para envio de códigos de verificação (OTP/2FA) e notificações transacionais, o Cliente atua como Responsável pelo Tratamento relativamente aos dados pessoais dos seus utilizadores finais, e a KambaSMS atua como Subcontratante, tratando esses dados apenas em nome e por instrução documentada do Cliente.
O tratamento abrange números de telemóvel angolanos (+244), endereços de email (quando utilizado o Kamba Email), identificadores técnicos de pedido/entrega e conteúdo estritamente transacional submetido pelo Cliente. A finalidade limita-se à geração e verificação de códigos temporários (OTP/2FA), encaminhamento às redes móveis, relatórios de entrega (DLR), webhooks, prevenção de fraude/abuso e faturação.
A KambaSMS compromete-se a tratar os dados pessoais apenas mediante as instruções técnicas emitidas pelo Cliente através da API ou do Dashboard, salvo obrigação legal aplicável na República de Angola. Os colaboradores e operadores autorizados estão vinculados a deveres estritos de confidencialidade e sigilo profissional, sendo o acesso humano restrito a suporte solicitado ou investigação de incidentes de segurança.
A KambaSMS aplica medidas de segurança de nível empresarial: (a) comunicações cifradas por HTTPS/TLS; (b) geração criptográfica de códigos OTP e validação por HMAC-SHA256 com domínio e contexto isolados por conta, sem armazenamento de novos códigos OTP em texto simples; (c) mascaramento automático de códigos no histórico de mensagens ([OTP ocultado]); (d) sanitização de logs operacionais para excluir números de telefone, chaves e códigos; (e) isolamento lógico por conta (Row-Level Security e privilégios restritos service_role); e (f) entrega de webhooks assinados com HMAC-SHA256 e proteção anti-SSRF.
Para a execução técnica do serviço, o Cliente autoriza o recurso às seguintes categorias de subcontratantes e operadores: (a) Operadoras móveis de destino em Angola (Unitel, Movicel e Africell) e operadoras/gateways de interligação e trânsito de telecomunicações para entrega das mensagens; (b) Fornecedores de infraestrutura de base de dados e autenticação gerida (PostgreSQL); (c) Fornecedores de infraestrutura de alojamento cloud de alta disponibilidade para execução da API e aplicação web; e (d) Fornecedores de infraestrutura de encaminhamento de email transacional (quando aplicável).
Os códigos OTP e desafios de verificação têm validade padrão de 5 minutos, uso único e limite de 5 tentativas, sendo o verificador criptográfico invalidado após confirmação ou expiração. Os dados do ambiente de testes (Sandbox) têm retenção curta (referência de 7 dias) e não saem para operadoras. Os registos operacionais e de entrega são conservados pelo período necessário à prestação do serviço, auditoria de créditos e cumprimento de obrigações legais. No fim do contrato, mediante solicitação escrita do Cliente, a KambaSMS procederá à eliminação ou anonimização dos dados operacionais da conta, salvo dever legal de conservação fiscal ou de segurança.
Caso ocorra uma violação confirmada de segurança que provoque a destruição, perda, alteração ou divulgação não autorizada de dados pessoais tratados em nome do Cliente, a KambaSMS notificará o Cliente sem demora injustificada — tendo como referência até 72 horas após a confirmação técnica do incidente — descrevendo a natureza da ocorrência, o impacto estimado e as medidas corretivas aplicadas.
A KambaSMS disponibiliza documentação técnica, registos de atividade por identificadores (request_id / message_id) e informações necessárias para apoiar o Cliente no cumprimento das suas obrigações perante os titulares dos dados e a Agência de Proteção de Dados (APD). Para questões contratuais, pedidos de eliminação ou proteção de dados, contacta legal@kambasms.ao ou support@kambasms.ao.