Acordo de tratamento de dados
Acordo nos termos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD) entre a clínica que utiliza o Estética 360° (“responsável”) e [Nome da empresa], NIF [NIF] (“subcontratante”). É aceite pelo dono da clínica em nome desta e faz parte dos Termos de utilização.
1. Objeto e duração
O subcontratante trata dados pessoais em nome do responsável apenas para prestar o serviço Estética 360° (gestão de clientes, agenda, comunicação e marcação online), durante a vigência do contrato e até à eliminação dos dados prevista no ponto 9.
2. Dados e titulares
- Titulares: clientes da clínica e pessoas que contactam a clínica pela Sofia; equipa da clínica.
- Dados: identificação e contactos; marcações e histórico de tratamentos; preferências e notas; consentimentos; conversas com a Sofia; mensagens enviadas; e, quando a clínica os registe, dados de saúde (fichas técnicas, contraindicações) e fotografias antes/depois — categorias especiais do artigo 9.º do RGPD.
3. Instruções
O subcontratante trata os dados apenas segundo as instruções documentadas do responsável, que correspondem à utilização das funcionalidades do serviço. Se uma instrução lhe parecer violar a lei, informa o responsável.
4. Confidencialidade e segurança
- Quem tem acesso aos dados está sujeito a dever de confidencialidade.
- Medidas técnicas e organizativas: encriptação em trânsito e em repouso; isolamento dos dados de cada clínica na base de dados (segurança ao nível da linha); permissões por função; verificação em dois passos e registo de ações na administração do produto; cópias de segurança. O subcontratante acede aos dados de uma clínica apenas por pessoas autorizadas e quando necessário para suporte, manutenção, segurança ou por obrigação legal; esses acessos ficam registados e o registo é disponibilizado à clínica a pedido.
5. Subcontratantes ulteriores
O responsável autoriza de forma geral os subcontratantes listados na Política de privacidade (Supabase, Netlify, Stripe, Anthropic, Google Cloud, Meta/WhatsApp e o fornecedor de email). O subcontratante avisa com pelo menos 30 dias antes de acrescentar ou substituir algum, podendo o responsável opor-se e cessar o contrato. Os subcontratantes ulteriores ficam vinculados a obrigações equivalentes às deste acordo.
6. Transferências internacionais
A base de dados está alojada na União Europeia. Quando um subcontratante ulterior trata dados fora do Espaço Económico Europeu, a transferência assenta numa decisão de adequação (incluindo o Quadro de Privacidade de Dados UE-EUA) ou em cláusulas contratuais-tipo.
7. Assistência ao responsável
- O serviço permite exportar a ficha completa de uma cliente e eliminá-la, para responder a pedidos de acesso, portabilidade e apagamento.
- O subcontratante presta a assistência razoável em avaliações de impacto e consultas à autoridade de controlo.
8. Violação de dados
O subcontratante notifica o responsável sem demora injustificada, e no máximo em 48 horas após ter conhecimento de uma violação de dados pessoais, com a informação disponível para que o responsável possa cumprir as suas obrigações de notificação.
9. Fim do tratamento
No fim do contrato, os dados ficam disponíveis para exportação durante 30 dias e são depois apagados, incluindo das cópias de segurança no ciclo seguinte, salvo obrigação legal de conservação.
10. Auditoria
O subcontratante disponibiliza a informação necessária para demonstrar o cumprimento deste acordo e permite auditorias razoáveis, com aviso prévio e sem prejudicar a segurança de outras clínicas.
11. Registo e cooperação
O subcontratante mantém o registo das atividades de tratamento que realiza por conta do responsável (artigo 30.º, n.º 2, do RGPD) e coopera com a autoridade de controlo quando lhe for pedido.
12. Prevalência
Em matéria de proteção de dados, este acordo prevalece sobre os Termos de utilização. A responsabilidade de cada parte segue o RGPD e os limites previstos nos Termos, na medida em que a lei o permita.
13. Obrigações do responsável
A clínica garante que tem fundamento legal para os dados que regista e para as mensagens que envia, que obtém o consentimento explícito das clientes para dados de saúde e fotografias e para o envio de mensagens, e que informa as clientes sobre o tratamento dos seus dados.
Anexo — Subcontratantes ulteriores
- Supabase — base de dados, autenticação e arquivo de fotografias — União Europeia (Frankfurt).
- Netlify — alojamento da aplicação e execução no servidor — Estados Unidos / rede global.
- Anthropic — inteligência artificial da Sofia (texto das conversas) — Estados Unidos.
- Google Cloud — voz da Sofia (texto das respostas) — Estados Unidos / União Europeia.
- Meta Platforms (WhatsApp Business) — envio de mensagens às clientes — União Europeia / Estados Unidos.
- Fornecedor de email transacional — envio de emails às clientes — a indicar quando for ativado.
- Stripe — pagamentos dos planos (não trata dados das clientes da clínica) — União Europeia / Estados Unidos.