Partes, papéis e integração
Este Acordo de Tratamento de Dados (“DPA”) integra os Termos e Condições sempre que o profissional utilize a You’re ON para tratar dados pessoais de clientes, potenciais clientes ou outros titulares no âmbito da sua atividade.
O profissional atua como Responsável pelo Tratamento e a You’re ON como Subcontratante na medida em que trata esses dados por conta do profissional.
Objeto, duração, natureza e finalidade
| Objeto | Disponibilização da aplicação e funcionalidades de organização, alojamento, sincronização, exportação, comunicação e suporte dos dados inseridos pelo profissional. |
|---|---|
| Duração | Durante a utilização/subscrição, período adicional de 30 dias para exportação após cessação e ciclos técnicos estritamente necessários à eliminação e backup. |
| Natureza | Recolha por instrução do profissional, registo, organização, estruturação, consulta, atualização, alojamento, transmissão técnica, recuperação, exportação, restrição e eliminação. |
| Finalidade | Permitir ao profissional gerir clientes, marcações, serviços, histórico, consentimentos, anamneses, comunicações, fidelização e informação operacional relacionada com a sua atividade. |
Titulares e categorias de dados
Titulares
Clientes, potenciais clientes e outras pessoas cujos dados o profissional decida inserir legitimamente na aplicação.
Dados pessoais
Identificação, contactos, data de nascimento, marcações, serviços, histórico, notas, alertas, consentimentos, informação de fidelização e outros dados operacionais relacionados com o atendimento.
Categorias especiais
Quando o profissional o determine e exista fundamento legal adequado, podem ser tratados dados relativos à saúde ou outras categorias especiais constantes de anamneses e informação técnica.
Instruções documentadas
A You’re ON trata os dados apenas segundo instruções documentadas do profissional. Consideram-se instruções documentadas as configurações e ações efetuadas pelo profissional através da aplicação e outras instruções válidas acordadas entre as partes.
Se a You’re ON considerar que uma instrução viola o RGPD ou outra legislação de proteção de dados aplicável, informará o profissional, salvo proibição legal.
Obrigações do profissional
- assegurar uma base legal adequada para o tratamento;
- cumprir os deveres de informação perante os titulares;
- assegurar uma condição válida do artigo 9.º quando tratar categorias especiais;
- aplicar minimização, exatidão e limitação de conservação;
- configurar corretamente consentimentos e comunicações;
- garantir que os utilizadores autorizados da sua organização têm necessidade de acesso;
- responder aos pedidos dos titulares e instruir a You’re ON quando necessitar de assistência;
- não introduzir dados de forma ilícita, excessiva ou incompatível com a finalidade profissional.
Confidencialidade e pessoal autorizado
A You’re ON assegura que as pessoas autorizadas a tratar dados pessoais por sua conta ficam sujeitas a dever de confidencialidade adequado e apenas acedem aos dados na medida necessária às suas funções.
Medidas técnicas e organizativas
As medidas são definidas de forma proporcional ao risco e podem incluir, conforme a arquitetura e os fornecedores utilizados:
- comunicações cifradas através de HTTPS/TLS;
- autenticação e controlo de acesso;
- segregação lógica dos dados por conta/organização;
- registos técnicos e mecanismos de deteção/diagnóstico de incidentes;
- backups, sincronização e mecanismos de recuperação proporcionais à infraestrutura;
- gestão de alterações e atualizações da aplicação;
- restrição de acesso administrativo;
- medidas de segurança disponibilizadas pelos subcontratantes ulteriores.
A descrição não constitui garantia de invulnerabilidade e deve ser lida em conjunto com a arquitetura efetivamente em produção.
Subcontratantes ulteriores
O profissional concede autorização geral para a utilização de subcontratantes ulteriores necessários à prestação do serviço. A lista atual inclui, consoante as funcionalidades usadas, Supabase, Cloudflare, Stripe, Resend e Twilio.
A You’re ON exige, quando aplicável ao tratamento por conta do profissional, compromissos de proteção de dados compatíveis com as obrigações do artigo 28.º do RGPD. Alterações materiais da lista serão disponibilizadas ou comunicadas por meio adequado, permitindo ao profissional apresentar objeção fundamentada quando o RGPD o exija.
Transferências internacionais
Quando um subcontratante ulterior implique transferência para fora do Espaço Económico Europeu, serão utilizados mecanismos de transferência legalmente reconhecidos, como decisões de adequação, cláusulas contratuais-tipo ou outro mecanismo válido, complementados por medidas adicionais quando necessário.
Assistência em direitos dos titulares
Tendo em conta a natureza do tratamento, a You’re ON presta assistência razoável ao profissional para permitir o exercício dos direitos dos titulares. Sempre que possível, o profissional deve utilizar as funcionalidades de consulta, correção, exportação e eliminação disponíveis na própria aplicação.
Se a You’re ON receber diretamente um pedido de uma cliente relativo a dados tratados por conta de um profissional, encaminhará o pedido para o profissional quando for possível identificar o responsável, salvo obrigação legal em contrário.
Violações de dados pessoais
A You’re ON notificará o profissional sem demora injustificada após tomar conhecimento de uma violação de dados pessoais abrangida por este DPA.
Na medida em que a informação esteja disponível, a notificação procurará indicar a natureza do incidente, categorias de dados/titulares afetados, consequências prováveis, medidas tomadas ou propostas e um contacto para acompanhamento.
AIPD e consulta prévia
Tendo em conta a natureza do tratamento e a informação disponível, a You’re ON presta assistência razoável ao profissional relativamente a avaliações de impacto sobre a proteção de dados e consultas prévias à autoridade de controlo quando estas sejam exigíveis.
Devolução, exportação e eliminação
Após o fim do período de acesso, o profissional dispõe de um período adicional de 30 dias para exportar/descarregar dados. Depois desse período, a You’re ON elimina dos sistemas ativos os dados pessoais tratados por conta do profissional que possam ser legal e tecnicamente eliminados.
Cópias residuais podem subsistir temporariamente em backups até à respetiva rotação, mantendo-se protegidas e não sendo reintroduzidas em utilização operacional salvo necessidade de recuperação.
Informação e auditorias
A You’re ON disponibiliza informação razoavelmente necessária para demonstrar o cumprimento das obrigações aplicáveis ao subcontratante.
Auditorias devem ser justificadas, proporcionais, previamente coordenadas, realizadas sem comprometer a segurança ou confidencialidade de outros utilizadores e, sempre que adequado, baseadas primeiro em documentação, certificações ou evidência técnica disponível.
Prevalência e duração do DPA
Em matéria de tratamento de dados pessoais por conta do profissional, este DPA prevalece sobre disposições contraditórias dos Termos apenas na medida necessária ao cumprimento do RGPD. As obrigações que, pela sua natureza, devam subsistir após a cessação mantêm-se pelo período aplicável.