Quem trata os dados e em que papel
Para os dados necessários à gestão da conta You’re ON, subscrição, faturação, segurança, suporte e relacionamento com o profissional, o prestador identificado na Informação Legal atua, em regra, como responsável pelo tratamento.
Quando o profissional introduz na aplicação dados das suas próprias clientes, o profissional determina as finalidades e os meios essenciais desse tratamento e atua, em regra, como responsável pelo tratamento. A You’re ON trata esses dados por conta e segundo as instruções do profissional, atuando como subcontratante, nos termos do DPA.
Que dados podem ser tratados
Dados do profissional / titular da conta
- nome, email, telefone e dados do estabelecimento;
- dados de autenticação, identificadores de conta e eventos de acesso;
- plano, estado da subscrição, franquias e saldo de SMS;
- NIF, morada fiscal e informação necessária à emissão de documentos fiscais;
- referências de pagamento, estado da cobrança e identificadores técnicos recebidos da Stripe; a You’re ON não necessita de guardar o número completo do cartão;
- pedidos de suporte, comunicações e histórico de contacto;
- logs técnicos, endereço IP, informação de dispositivo/navegador e eventos necessários à segurança e diagnóstico.
Dados das clientes inseridos pelo profissional
- nome, telefone, email, data de nascimento e outros contactos;
- marcações, serviços, histórico de atendimentos, notas, alertas e fidelização;
- anamneses, consentimentos e informação técnica que o profissional decida recolher;
- quando necessário ao serviço prestado pelo profissional, podem existir dados relativos à saúde ou outras categorias especiais.
A You’re ON não define quais os dados clínicos ou de saúde que cada profissional deve recolher. Cabe ao profissional limitar a recolha ao que for efetivamente necessário e legalmente permitido.
Para que usamos os dados e qual a base
| Finalidade | Exemplos de dados | Fundamento |
|---|---|---|
| Criar e gerir a conta | Identificação, contactos, autenticação, estabelecimento | Execução do contrato |
| Prestar a aplicação e sincronizar dados | Dados operacionais da conta e, por conta do profissional, dados das clientes | Execução do contrato / instruções documentadas do profissional |
| Gerir subscrição, cobrança e SMS | Plano, pagamentos, franquias, saldo, identificadores Stripe | Execução do contrato e obrigações legais aplicáveis |
| Emitir e conservar documentos fiscais | Nome, NIF, morada, operação, valor | Obrigação legal |
| Segurança, prevenção de abuso e defesa de direitos | Logs, IP, dispositivo, eventos de autenticação | Interesse legítimo em proteger o serviço, utilizadores e direitos, sem prejuízo dos direitos do titular |
| Responder a suporte | Conta, mensagem, anexos eventualmente enviados | Execução do contrato e/ou interesse legítimo em responder e resolver pedidos |
| Analítica do website | Identificadores e eventos do Google Analytics 4 | Consentimento |
| Marketing da You’re ON dirigido ao profissional/titular da conta, quando aplicável | Email/contacto do profissional, quando utilizado | Consentimento ou outra base legal especificamente identificada no momento do envio; não é usado um consentimento genérico para finalidades incompatíveis |
Dados de saúde e categorias especiais
As anamneses podem conter dados relativos à saúde, que beneficiam de proteção reforçada. O profissional é responsável por determinar uma base de licitude adequada ao abrigo do artigo 6.º do RGPD e, quando aplicável, uma condição válida do artigo 9.º.
- recolher apenas o que é necessário para o serviço concreto;
- evitar informação clínica irrelevante ou excessiva;
- manter os dados corretos e atualizados;
- não utilizar a disponibilidade técnica de um campo como justificação para recolher informação desnecessária;
- garantir que apenas pessoas autorizadas acedem aos dados.
Quando o consentimento for a base adequada, deve ser livre, específico, informado, inequívoco e passível de prova, e a retirada deve ser tão simples quanto a sua prestação.
Prestadores técnicos e destinatários
Para prestar o serviço podem ser utilizados fornecedores especializados. Atualmente, consoante a funcionalidade utilizada, podem incluir:
| Prestador | Função | Tipo de tratamento |
|---|---|---|
| Supabase | Base de dados, autenticação e infraestrutura associada | Alojamento e processamento técnico de dados da aplicação |
| Cloudflare | Alojamento, entrega, rede e segurança | Dados técnicos e conteúdos necessários à disponibilização do serviço |
| Stripe | Pagamentos e gestão da subscrição | Dados de cobrança e identificadores de pagamento |
| Resend | Comunicações transacionais da plataforma | Endereço de email e conteúdo técnico da mensagem |
| Twilio | SMS | Número de telefone, conteúdo da mensagem e metadados de entrega |
| Google Analytics 4 | Analítica do website | Somente após consentimento do visitante |
Estes fornecedores só devem receber os dados necessários à função que desempenham. A lista pode ser atualizada quando a infraestrutura mudar, mantendo-se as obrigações de proteção de dados aplicáveis.
Transferências internacionais
Alguns fornecedores podem tratar dados fora do Espaço Económico Europeu ou utilizar infraestruturas globais. Quando uma transferência internacional estiver abrangida pelos capítulos aplicáveis do RGPD, a You’re ON recorrerá a um mecanismo legal adequado, como decisão de adequação, cláusulas contratuais-tipo aprovadas pela Comissão Europeia ou outro mecanismo válido.
Quando necessário, são avaliadas medidas complementares e as condições concretas do fornecedor. O titular pode pedir informação adicional sobre as garantias aplicáveis através de geral@youreon.pt.
SMS, opt-in e opt-out
Quando o profissional utiliza a You’re ON para contactar as suas clientes por SMS, é o profissional quem deve garantir um consentimento válido para cada remetente e assunto da mensagem, conservar prova da data e do método de obtenção e respeitar qualquer retirada de consentimento.
O consentimento para mensagens relacionadas com marcações/atendimento não deve ser confundido com consentimento para campanhas promocionais. Finalidades diferentes devem ser tratadas de forma diferenciada quando a lei ou as regras do canal assim o exijam.
Números de telemóvel, dados de opt-in e consentimentos de SMS não são vendidos, alugados nem partilhados com terceiros ou afiliados para marketing ou promoção. Podem ser tratados por prestadores técnicos estritamente necessários à entrega da mensagem.
Quando o remetente aceita respostas, a cliente pode usar palavras de saída como STOP e de ajuda como HELP, quando tecnicamente suportadas. Um remetente alfanumérico não aceita respostas, pelo que o profissional deve assegurar outra forma clara de retirada do consentimento.
Durante quanto tempo conservamos
| Categoria | Critério de conservação |
|---|---|
| Conta e dados operacionais do profissional | Durante a relação contratual e pelo período adicional necessário a exportação, segurança, regularização e defesa de direitos. |
| Dados operacionais das clientes | Durante a subscrição e, após a cessação, durante o período de exportação de 30 dias; depois são eliminados dos sistemas ativos quando não exista obrigação legal ou motivo técnico legítimo para conservação limitada. |
| Documentos fiscais e contabilísticos | Pelo prazo legal aplicável, que pode atingir 10 anos. |
| Logs de segurança e suporte | Pelo período proporcional à finalidade de segurança, diagnóstico, cumprimento e defesa de direitos. |
| Preferência de cookies | No dispositivo do visitante, de acordo com a Política de Cookies e a lógica técnica implementada. |
Cópias residuais em backups podem subsistir por ciclos técnicos limitados e ficam sujeitas a restrições de acesso e eliminação/rotação.
Direitos dos titulares
Quando a You’re ON atua como responsável pelo tratamento, o titular pode exercer, quando aplicável, direitos de acesso, retificação, apagamento, limitação, oposição, portabilidade e retirada de consentimento.
O pedido pode ser enviado para geral@youreon.pt. Podemos pedir informação razoável para confirmar a identidade e evitar divulgação indevida. Os pedidos são tratados dentro dos prazos previstos no RGPD.
Quando o pedido incide sobre dados que uma profissional colocou na You’re ON relativamente às suas clientes, a cliente deve, em regra, dirigir-se primeiro à profissional, que é a responsável pelo tratamento. A You’re ON presta assistência ao profissional nos termos do DPA.
É ainda possível apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD).
Segurança e incidentes
A You’re ON aplica medidas técnicas e organizativas proporcionais ao risco e à natureza do serviço, incluindo autenticação, controlo de acesso, proteção de comunicações, segregação lógica, mecanismos de sincronização/recuperação e medidas dos fornecedores de infraestrutura.
Nenhum serviço online pode ser apresentado como risco zero. Incidentes são avaliados de acordo com o RGPD. Quando a You’re ON atua como subcontratante, notificará o profissional sem demora injustificada após tomar conhecimento de uma violação de dados pessoais abrangida pelo tratamento por sua conta.
Menores e dados de terceiros
A You’re ON não é destinada à criação de contas profissionais por menores. Se um profissional prestar serviços a um menor e inserir os seus dados na aplicação, cabe ao profissional assegurar a base legal, deveres de informação e autorizações que sejam exigíveis no contexto concreto.
Alterações a esta Política
A Política pode ser atualizada por mudanças legais, técnicas, de fornecedores ou de funcionalidades. Quando a alteração for material para o tratamento dos dados do profissional, será utilizada uma forma razoável de comunicação adicional, quando necessário.