1. Partes e objeto
Este acordo é celebrado entre o profissional utilizador do Serviço (o «Responsável pelo tratamento») e o editor da Sutempo (Lorenzo Mira Mateo, a título pessoal, com a sociedade em constituição) (o «Subcontratante», «Sutempo»). Define as obrigações das partes nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD) para os tratamentos de dados pessoais que a Sutempo realiza por conta do Responsável.
Complementa as condições gerais e prevalece sobre elas em tudo o que respeita à proteção de dados. Aplica-se desde a abertura da atividade, sem formalidades.
2. Descrição do tratamento
| Elemento | Descrição |
|---|---|
| Natureza e finalidade | Alojamento, armazenamento, apresentação e tratamento dos dados necessários às marcações, à gestão da agenda, ao envio de e-mails relacionados com marcações, ao pagamento na conta Stripe do Responsável, à área de cliente e às funcionalidades ativadas pelo Responsável (aulas de grupo, packs, pedidos de avaliação e sincronização de agenda). |
| Prazo | Duração do contrato, seguida de eliminação nos termos da secção 10. |
| Titulares dos dados | Clientes e potenciais clientes do Responsável; membros da sua equipa. |
| Categorias de dados | Identidade e contactos (nome, e-mail, telefone), idioma, marcações e histórico, notas introduzidas pelo Responsável ou pelo cliente, montantes e referências de pagamento (sem dados de cartão), consentimentos e preferências, tokens de acesso e registo de e-mails. O Serviço não exige dados de categorias especiais; o Responsável deve abster-se de os introduzir nos campos livres ou assegurar um fundamento legal adequado. |
3. Instruções do Responsável
A Sutempo trata os dados apenas segundo instruções documentadas do Responsável. As instruções são constituídas por este acordo, pelas condições gerais e pela utilização das funcionalidades do Serviço (definições, ações na administração e API). A Sutempo informa o Responsável se uma instrução lhe parecer contrária ao RGPD.
A Sutempo não utiliza os dados dos titulares por conta própria, exceto estatísticas agregadas e anonimizadas da exploração do Serviço, nem os cede a terceiros.
4. Confidencialidade
As pessoas autorizadas a tratar dados sob a autoridade da Sutempo estão sujeitas a uma obrigação contratual de confidencialidade e só acedem aos dados na medida necessária ao funcionamento, apoio ou segurança do Serviço.
5. Segurança (artigo 32.º)
A Sutempo implementa e mantém as seguintes medidas:
- cifragem dos dados em trânsito (TLS) e em repouso (base de dados e cópias de segurança);
- cifragem aplicacional dos segredos e chaves de acesso guardados na base de dados; códigos de acesso de utilização única guardados como hashes; sessões HttpOnly, SameSite e com duração limitada;
- isolamento dos dados por atividade verificado em cada pedido, chaves de acesso de âmbito restrito e princípio do menor privilégio nos acessos da equipa;
- política de segurança de conteúdos rigorosa em todas as interfaces, proteção contra pedidos entre sites e limitação das tentativas de autenticação;
- registo de auditoria das alterações de configuração; registos técnicos sem dados de cartão;
- alojamento na União Europeia (Vercel na região de Frankfurt, Neon na região de Frankfurt, eu-central-1), cópias de segurança automáticas e procedimentos de restauro;
- revisão de segurança das alterações e testes automatizados que abrangem o isolamento entre atividades e o apagamento dos dados.
Estas medidas evoluem com o estado da técnica; a Sutempo não as reduz abaixo deste nível sem informar o Responsável.
6. Subcontratantes ulteriores
O Responsável autoriza, em termos gerais, o recurso aos subcontratantes ulteriores abaixo indicados, cada um vinculado por um contrato que impõe obrigações equivalentes às deste acordo:
| Subcontratante | Sede | Função | Localização e garantias |
|---|---|---|---|
| Vercel Inc. | 340 S Lemon Ave #4133, Walnut, CA 91789, Estados Unidos | Alojamento da aplicação e das páginas, execução do código e registos técnicos | União Europeia (região de Frankfurt) para a execução; transferências abrangidas pelo Data Privacy Framework e por cláusulas contratuais-tipo |
| Neon Inc. | 2261 Market Street #4459, San Francisco, CA 94114, Estados Unidos | Base de dados PostgreSQL: todos os dados da aplicação, cifrados em repouso, e cópias de segurança | União Europeia (região de Frankfurt, eu-central-1); cláusulas contratuais-tipo |
| Stripe Payments Europe, Ltd. | 1 Grand Canal Street Lower, Dublin 2, Irlanda | Pagamento online dos clientes na conta Stripe do profissional (Stripe Connect), gestão de reembolsos; faturação das subscrições Sutempo | União Europeia; a Stripe também atua como responsável pelo tratamento para as suas próprias obrigações (combate à fraude, KYC) |
| Resend Inc. | 2261 Market Street #5039, San Francisco, CA 94114, Estados Unidos | Envio de e-mails: códigos de acesso, confirmações, lembretes, agradecimentos e pedidos de avaliação | Estados Unidos; cláusulas contratuais-tipo |
| Google LLC / Google Ireland Ltd. | Gordon House, Barrow Street, Dublin 4, Irlanda | Início de sessão com Google (por escolha do utilizador), sincronização com Google Agenda (ativada pelo profissional), mapa Google Maps na página pública do profissional e tipos de letra Google Fonts nas interfaces de reserva | União Europeia e Estados Unidos; Data Privacy Framework |
| Apple Inc. | One Apple Park Way, Cupertino, CA 95014, Estados Unidos | Início de sessão com Apple (por escolha do utilizador) | Estados Unidos; Data Privacy Framework |
A Sutempo informa o Responsável, por e-mail e por atualização desta página, pelo menos 30 dias antes de acrescentar ou substituir um subcontratante ulterior. O Responsável pode opor-se por motivo legítimo; na ausência de acordo, pode resolver o contrato sem custos e exportar os seus dados. A Sutempo continua responsável perante o Responsável pelo cumprimento das obrigações dos seus subcontratantes ulteriores.
7. Transferências para fora da União Europeia
Os dados são alojados na União Europeia. Quando um subcontratante ulterior trata dados a partir de um país terceiro (envio de e-mails, início de sessão Google ou Apple, apoio técnico), a transferência assenta numa decisão de adequação (Data Privacy Framework UE–Estados Unidos para prestadores certificados) ou nas cláusulas contratuais-tipo da Comissão Europeia, acompanhadas de medidas complementares (cifragem e minimização).
8. Assistência ao Responsável
A Sutempo ajuda o Responsável a responder aos pedidos dos titulares dos dados: as ferramentas de administração permitem consultar, retificar, exportar (CSV) e apagar os dados de um cliente. O apagamento de um cliente substitui os seus dados pessoais por valores anónimos em toda a base de dados, incluindo o histórico de envios e os registos.
A Sutempo transmite sem demora ao Responsável qualquer pedido de um titular de dados que receba diretamente. Assiste o Responsável, tendo em conta a natureza do tratamento e as informações disponíveis, nas avaliações de impacto, nas consultas prévias à autoridade de controlo e na notificação de violações. Contacto: contact@sutempo.com.
9. Violações de dados
A Sutempo notifica o Responsável de qualquer violação de dados pessoais que lhe diga respeito sem demora injustificada após tomar conhecimento, e no máximo em 48 horas, por e-mail para o endereço da conta. A notificação descreve a natureza da violação, as categorias e o número aproximado de pessoas e registos afetados, as consequências prováveis e as medidas tomadas ou propostas. As informações podem ser comunicadas por fases.
10. Fim do tratamento
No final do contrato, ou a qualquer momento por decisão do Responsável, este exporta os dados a partir da administração e elimina a atividade. A eliminação é executada imediatamente, numa única transação, sobre todos os dados da atividade, conforme detalhado na política de privacidade. As cópias presentes nas cópias de segurança desaparecem na rotação seguinte.
A Sutempo conserva apenas o que a lei exige (documentos contabilísticos) e um registo de auditoria sem conteúdo de clientes.
A Sutempo pode eliminar uma atividade que permaneça inativa por um período prolongado, segundo o mesmo procedimento, após avisos por e-mail e um aviso prévio.
11. Documentação e auditoria
A Sutempo disponibiliza ao Responsável as informações necessárias para demonstrar o cumprimento deste acordo: esta página, a política de privacidade, a descrição das medidas de segurança e, mediante pedido escrito, esclarecimentos adicionais. O Responsável pode realizar, no máximo uma vez por ano e com aviso prévio de 30 dias, uma auditoria documental ou presencial, a suas expensas e durante o horário de trabalho, respeitando a confidencialidade dos outros profissionais. Os relatórios de auditoria e as certificações dos subcontratantes ulteriores substituem a auditoria no que lhes diz respeito.
12. Responsabilidade e lei aplicável
Cada parte responde pelos danos causados por um tratamento que viole o RGPD nas condições do artigo 82.º. Aplicam-se as limitações de responsabilidade das condições gerais, salvo na medida em que contrariem uma disposição imperativa. Este acordo rege-se pela lei francesa; qualquer litígio compete aos tribunais da área da sede do editor.