Acordo de Tratamento de Dados

1. Partes e papéis

• Responsável pelo tratamento: o estabelecimento, que decide para que servem os dados dos seus clientes (marcações, fichas de cliente, autorizações para novidades) e responde perante eles.
• Subcontratante: a Vaaga, que trata esses dados só segundo as instruções documentadas do estabelecimento e nunca para fins próprios.
• Os dados de que a Vaaga é responsável (por exemplo, a conta do estabelecimento, a faturação e as mensagens enviadas para o número de WhatsApp da Vaaga) estão na Política de Privacidade.

2. Condições do tratamento

• Objeto e finalidade: a Vaaga trata dados pessoais dos clientes do estabelecimento apenas para prestar o serviço de marcações (página de marcações, painel de gestão, mensagens de WhatsApp e notificações sobre as marcações, estatísticas e cópias de segurança), segundo as instruções do estabelecimento, que são as destes termos e as que der no painel ou por escrito.
• Duração: enquanto durar o contrato e, depois do fim, até ao apagamento dos dados previsto abaixo.
• Tipos de dados e titulares: clientes do estabelecimento (nome, número de telemóvel, email se indicado, marcações, notas, histórico, mensagens de WhatsApp sobre as marcações, subscrições de notificações e autorização para novidades) e utilizadores do painel (nome e email). Não são tratadas categorias especiais de dados; o estabelecimento não deve escrever dados de saúde ou outros dados sensíveis nas notas.
• Obrigações da Vaaga: tratar os dados só segundo as instruções documentadas do estabelecimento e nunca para fins próprios; garantir que quem tem acesso está obrigado a confidencialidade; aplicar as medidas de segurança abaixo; ajudar o estabelecimento a responder aos pedidos dos titulares (acesso, retificação, apagamento, portabilidade, oposição) e a cumprir as obrigações de segurança, notificação de violações e avaliações de impacto; disponibilizar a informação necessária para demonstrar o cumprimento deste acordo e permitir auditorias razoáveis, com aviso prévio; avisar o estabelecimento se uma instrução lhe parecer contrária à lei.
• Subcontratantes ulteriores: o estabelecimento autoriza a Vaaga a recorrer a Supabase (base de dados, União Europeia), Cloudflare (alojamento), Hetzner (cópias de segurança, Alemanha), Meta Platforms (WhatsApp Business) e Resend (emails). A Vaaga impõe-lhes obrigações de proteção de dados equivalentes às deste acordo e avisa o estabelecimento por email com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um subcontratante; o estabelecimento pode opor-se e, se não houver alternativa, cancelar sem custos.
• Segurança: comunicações cifradas (HTTPS); cada estabelecimento só acede aos seus dados (separação ao nível da base de dados); acesso ao painel com autenticação; acesso da Vaaga limitado ao necessário para o suporte e a manutenção; cópias de segurança automáticas guardadas no máximo 4 semanas; registos técnicos para detetar abusos e erros.
• Violações de dados: a Vaaga avisa o estabelecimento sem demora injustificada, no máximo 48 horas depois de ter conhecimento de uma violação que afete os seus dados, com a informação disponível sobre a natureza, os dados e titulares afetados, as consequências prováveis e as medidas tomadas, para que o estabelecimento possa, se necessário, notificar a CNPD em 72 horas e informar os titulares.
• Fim do contrato: o estabelecimento pode pedir, até 12 meses depois do fim do contrato, uma cópia dos dados num formato de uso corrente (por exemplo, CSV). Passados 12 meses, ou antes se o estabelecimento o pedir por escrito, a Vaaga apaga os dados, incluindo as cópias, salvo o que a lei obrigue a guardar.
• Obrigações do estabelecimento: ter fundamento legal para o tratamento, informar os clientes (a página de privacidade do seu domínio faz isso) e usar os contactos só para as finalidades autorizadas, nomeadamente enviar novidades apenas a quem deu consentimento.

3. Aceitação e versões

O acordo é aceite na adesão (caixa "Li e aceito os Termos e o Acordo de Tratamento de Dados"); guardamos a data, a versão e o endereço IP da aceitação. Alterações são comunicadas por email com pelo menos 30 dias de antecedência.