Acordo de tratamento de dados

Minuta para preencher e validar

Documento de preparação para a relação entre a entidade titular da Vez Studio (Fornecedor) e cada estabelecimento (Cliente profissional). Não é um contrato celebrado, não ativa uma subscrição e não é aceite pela pessoa que marca um corte. Os campos entre parênteses retos e os anexos têm de ser completados e aprovados pelas partes antes da assinatura.

1. Partes, objeto e duração

Responsável pelo tratamento: [nome legal, NIF, morada e contacto do estabelecimento]. Subcontratante: [nome legal, NIF, morada e contacto da entidade Vez]. Referência do contrato principal: [referência e data]. Contactos para direitos e incidentes: [contactos de ambas as partes].

A Vez trata por conta do estabelecimento os dados necessários à agenda, atendimento e comunicações por este instruídas, durante o contrato e as operações de saída acordadas. O Cliente determina as finalidades e a licitude. Para contas profissionais, faturação e obrigações próprias, a Vez pode atuar como responsável autónomo, com informação separada; isso não permite reutilizar a carteira de clientes para publicidade própria.

2. Anexo A · descrição do tratamento

Titulares: clientes do estabelecimento, adultos que marcam por terceiros, colaboradores e utilizadores autorizados. Dados: nome, telefone, email facultativo, idade facultativa, serviço, profissional, datas, duração reservada, preços, estado, preferências não sensíveis, histórico e registos de escolhas e aceitação. Dados técnicos: autenticação, identificadores de pedidos, registos de segurança e acesso.

Operações: recolha, organização, conservação, consulta autorizada, atualização, exportação, restrição e eliminação; envio de mensagens apenas quando contratado, tecnicamente ativado e legitimado. Frequência: continuada durante o serviço. Não está previsto recolher documentos de identificação ou categorias especiais de dados. Notas de saúde não devem ser introduzidas neste produto.

3. Instruções e confidencialidade

A Vez apenas executará instruções documentadas do Cliente, incluindo quanto a transferências internacionais. Se a lei exigir outro tratamento, informará previamente o Cliente, salvo proibição legal. Alertará de imediato para uma instrução que considere contrária à legislação de proteção de dados.

O acesso fica limitado às pessoas que dele necessitam, sujeitas a confidencialidade. A Vez não venderá os dados, não cruzará carteiras de estabelecimentos e não os utilizará para treinar modelos ou fazer marketing próprio sem um fundamento e enquadramento separados e válidos.

4. Anexo B · segurança e recuperação

As medidas devem ser proporcionais ao risco e documentadas: contas individuais, privilégios mínimos, separação por estabelecimento, proteção de credenciais, transmissão cifrada, manutenção e resposta a vulnerabilidades, registo de acessos administrativos, revisão de acessos, cópias de segurança, testes de restauro e eliminação segura.

Estado verificado do piloto: autenticação na gestão, autorização por estabelecimento, regras de acesso à base de dados, validação de conflitos de reservas e registo dos textos aceites. Ainda por operacionalizar e testar antes de dados reais: política de backups com restauro, auditoria administrativa completa, retenção e eliminação individual, procedimento de direitos e incidentes. A escolha de planos gratuitos não constitui garantia de disponibilidade ou recuperação.

Preencher antes da assinatura: frequência/local/encriptação das cópias [ ], retenção das cópias [ ], tempo objetivo de recuperação [ ], perda máxima de dados admissível [ ], responsáveis e data do último teste de restauro [ ]. Estes objetivos só vinculam depois de acordados e suportados pela infraestrutura.

5. Anexo C · outros fornecedores e transferências

Inventário técnico atual: Supabase — base de dados, autenticação e atualização da agenda; base principal na Irlanda. Netlify — alojamento, entrega das páginas e execução do servidor que recebe os pedidos. Identificar a entidade contratante exata de cada fornecedor, localizações de processamento, subprocessadores e versão do respetivo acordo. Meta/WhatsApp e fornecedor de email não estão ativados para mensagens a clientes neste piloto.

A utilização de região europeia não garante que todo o suporte, telemetria ou tratamento por terceiros ocorra na UE. Documentar as transferências efetivas e respetivo mecanismo válido, avaliação e medidas suplementares quando necessárias. Consultar os acordos atuais; esta minuta não certifica que foram celebrados.

A utilização de outros subcontratantes depende da autorização escrita do Cliente. Se for escolhida autorização geral, a Vez comunicará adições ou substituições com antecedência de [prazo acordado], permitindo objeção fundamentada antes da alteração. Havendo objeção não resolvida, as partes acordarão alternativa ou cessação do serviço afetado. A Vez imporá obrigações equivalentes aos fornecedores e mantém a responsabilidade perante o Cliente prevista na lei.

6. Direitos, incidentes e cooperação

A Vez encaminhará pedidos de titulares ao Cliente e prestará assistência adequada para acesso, retificação, apagamento, limitação, oposição e portabilidade, sem decidir por conta própria fora das instruções ou obrigação legal. A identificação será verificada de forma proporcional, sem recolher sistematicamente cópias de documentos.

A Vez comunicará violações de dados ao Cliente sem demora injustificada após tomar conhecimento, através do contacto de incidente acordado. Facultará progressivamente os factos, categorias e dimensão conhecidas, consequências prováveis, medidas tomadas e ponto de contacto, preservando evidência. O prazo de 72 horas aplicável à notificação do responsável à autoridade, quando exigida, não é um prazo livre para a Vez esperar.

A Vez ajudará o Cliente nas obrigações de segurança, avaliação de impacto e consulta prévia quando aplicáveis. Disponibilizará informação que demonstre o cumprimento e permitirá auditorias e inspeções pelo Cliente ou auditor autorizado, com proteção dos dados de outros estabelecimentos e sem impedir a fiscalização legal.

7. Anexo D · conservação e saída

O Cliente documentará prazos ou critérios por categoria e finalidade: marcações e histórico [ ], preferências [ ], prova de consentimento e oposição [ ], logs [ ]. Não aplicar um prazo fiscal indistintamente à agenda. A retirada de marketing impede novos envios e preserva apenas a prova mínima justificada; não exige apagar uma reserva ainda necessária.

No fim do serviço, o Cliente escolherá devolução ou eliminação. Formato e canal seguro de exportação [ ], prazo para disponibilizar [ ], prazo para apagar dados ativos e cópias [ ], destinatário autorizado [ ]. A Vez eliminará as cópias, salvo conservação legalmente exigida, indicando a obrigação, o prazo e a restrição de acesso. Confirmará a execução. Um restauro não poderá reintroduzir dados eliminados sem reaplicar as eliminações.

A falta de pagamento não confere à Vez o direito de reutilizar dados ou bloquear o exercício de direitos. Revogar acessos e ligações de marcação na saída. Estes procedimentos ainda não estão automatizados no piloto e têm de ser testados antes da utilização real.

8. Aprovação

Este acordo integra o contrato principal e prevalece em matérias de tratamento por conta do Cliente, sem reduzir obrigações legais. Assinaturas ou aceitação eletrónica comprovável de representantes autorizados: [nomes, qualidade, data, versão e assinaturas]. Conservar os anexos aprovados e o histórico de alterações. A publicação desta minuta não constitui assinatura nem autorização de fornecedores.