O presente Acordo de Tratamento de Dados ("DPA") faz parte integrante dos Termos de Serviço da Salonnare e aplica-se automaticamente a partir do momento em que crias uma conta e introduzes no Serviço dados pessoais dos clientes finais do teu salão. Não é necessária qualquer assinatura separada - para obteres um PDF autónomo assinado, envia um e-mail para privacy@vaniersel.dev.
Partes: (1) o cliente que celebrou uma subscrição da Salonnare (o "Responsável pelo tratamento"), e (2) a VanIersel Development (com a designação comercial Salonnare), com sede em Waalwijk, Países Baixos, info@salonnare.com (o "Subcontratante").
O presente DPA dá execução ao artigo 28.º, n.º 3, do RGPD e às obrigações entre o responsável pelo tratamento e o subcontratante nele previstas.
O Subcontratante trata dados pessoais exclusivamente por conta e mediante instruções documentadas do Responsável pelo tratamento, no âmbito do Serviço Salonnare.
O presente DPA vigora durante o período do contrato de subscrição subjacente e cessa automaticamente com o termo deste, sem prejuízo do disposto na secção 10 (fim do tratamento).
Natureza: conservação, apresentação, estruturação, consulta, transmissão (e-mail/WhatsApp), apagamento e cópia de segurança de dados pessoais num ambiente SaaS em nuvem multi-inquilino (multi-tenant).
Finalidade: prestação das funcionalidades da Salonnare (agenda, caixa, faturação, campanhas, notificações, relatórios, fichas de clientes) de acordo com as instruções que o Responsável pelo tratamento dá através da interface da aplicação ou dos canais de suporte.
O Subcontratante não trata dados pessoais para fins próprios ou de terceiros, exceto na medida do necessário para prestar o Serviço, para estudos de produto anónimos/agregados ou para cumprir obrigações legais.
Titulares dos dados: clientes finais do salão; trabalhadores/profissionais do salão; fornecedores e contactos que o Responsável pelo tratamento regista.
Categorias de dados pessoais: dados de contacto (nome, e-mail, telefone), identificadores (número de cliente), histórico de marcações, tratamentos, faturas, pagamentos, notas, fotografias, preferências, saldos de vales-oferta e de fidelização, comunicações por e-mail/WhatsApp, avaliações.
As categorias especiais (artigo 9.º do RGPD) - como notas de saúde (alergias, medicação, afeções cutâneas, gravidez) - são conservadas num cofre cifrado dedicado, separado das notas de cliente comuns. O Subcontratante aplica as seguintes salvaguardas adicionais:
• Cifragem envelope AES-256-GCM com uma chave de dados por inquilino (tenant), que é ela própria encapsulada, em repouso, com uma chave mestra da plataforma.
• A chave mestra é guardada exclusivamente em variáveis de ambiente, separada das cópias de segurança da base de dados; a perda da chave torna todos os dados do cofre permanentemente ilegíveis.
• Controlo de acesso baseado em funções através de um indicador de permissão dedicado (can_view_health_notes), auditável por associação; os administradores não têm acesso automático.
• Registo de acessos inalterável: cada leitura, escrita, transferência e apagamento é registado com o autor, o endereço IP e a data e hora, e conservado durante 24 meses.
• Prazo de conservação predefinido de 12 meses + período de tolerância de 30 dias, configurável por nota pelo Responsável pelo tratamento.
• A personificação (impersonation) pela plataforma está tecnicamente bloqueada nas rotas de dados de saúde (defesa em profundidade).
O Responsável pelo tratamento continua a ser responsável por determinar e documentar o fundamento jurídico adequado nos termos do artigo 9.º, n.º 2, do RGPD (normalmente, consentimento explícito ou interesses vitais). O Subcontratante disponibiliza o meio técnico para registar, comprovar e retirar esse consentimento através de um registo separado de eventos de consentimento. Para os pormenores técnicos, consulta o runbook "art9-health-data-vault".
O Subcontratante trata dados pessoais apenas mediante instruções documentadas do Responsável pelo tratamento, salvo se a tal for obrigado por lei. Nesse caso, o Subcontratante informa o Responsável pelo tratamento antes de efetuar o tratamento, salvo se a lei proibir tal informação.
Se o Subcontratante considerar que uma instrução viola o RGPD ou outras disposições do direito da União ou dos Estados-Membros em matéria de proteção de dados, informa imediatamente o Responsável pelo tratamento.
O Subcontratante assegura que as pessoas autorizadas a tratar os dados pessoais assumiram por escrito um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade.
O acesso aos dados de produção está limitado ao fundador da VanIersel Development e a pessoas expressamente autorizadas, com 2FA.
O Responsável pelo tratamento concede ao Subcontratante uma autorização geral por escrito para recorrer a subcontratantes ulteriores. A lista atual está disponível em salonnare.com/sub-processors e é incorporada por remissão.
O Subcontratante informa o Responsável pelo tratamento pelo menos 30 dias antes de recorrer a um novo subcontratante ulterior ou de substituir um existente. Nesses 30 dias, o Responsável pelo tratamento pode opor-se de forma fundamentada. Se a oposição não puder ser razoavelmente resolvida, o Responsável pelo tratamento pode resolver o contrato de subscrição sem pré-aviso, na parte em que o subcontratante ulterior intervém.
O Subcontratante impõe a cada subcontratante ulterior obrigações idênticas ou mais rigorosas do que as estabelecidas no presente DPA, através de um contrato de (sub)tratamento escrito. O Subcontratante continua a ser plenamente responsável pelo cumprimento por parte dos seus subcontratantes ulteriores.
O Subcontratante aplica medidas técnicas e organizativas adequadas, incluindo: TLS 1.3 em trânsito, AES-256 em repouso, HSTS preload, isolamento de inquilinos ao nível da linha na base de dados, acesso à produção segundo o princípio do privilégio mínimo com 2FA, registo de auditoria das alterações, limitação automática de pedidos (rate limiting) e deteção de anomalias, e atualizações regulares de dependências e de segurança.
O Subcontratante avalia periodicamente as medidas de segurança e ajusta-as quando o estado da técnica ou o perfil de risco o exigir.
O Subcontratante presta ao Responsável pelo tratamento uma assistência razoável na resposta aos pedidos dos titulares dos dados (acesso, retificação, apagamento, limitação, portabilidade, oposição) através de medidas técnicas e organizativas adequadas, incluindo exportações em self-service na aplicação (JSON/CSV) e endpoints de API.
Os pedidos de titulares dos dados recebidos diretamente pelo Subcontratante são reencaminhados, sem tratamento, para o Responsável pelo tratamento, salvo se o Subcontratante for legalmente obrigado a tratá-los ele próprio.
A pedido, o Subcontratante presta assistência ao Responsável pelo tratamento nas avaliações de impacto sobre a proteção de dados e na consulta prévia da autoridade de controlo (artigos 35.º e 36.º do RGPD), mediante uma compensação razoável dos custos efetivos em caso de intervenções extensas.
O Subcontratante notifica o Responsável pelo tratamento sem demora injustificada e, em qualquer caso, no prazo de 48 horas após ter tido conhecimento de uma violação de dados pessoais na aceção do artigo 33.º do RGPD.
A notificação contém, no mínimo: a natureza da violação, as categorias e o número aproximado de titulares afetados, a pessoa de contacto, as consequências prováveis e as medidas adotadas ou propostas.
O Responsável pelo tratamento continua a ser responsável pela notificação à autoridade neerlandesa de proteção de dados e, se for caso disso, aos titulares dos dados (artigos 33.º e 34.º do RGPD). O Subcontratante presta uma assistência razoável.
Após a cessação do contrato subjacente, o Responsável pelo tratamento dispõe de 30 dias para descarregar todos os dados pessoais através da função de exportação em self-service (JSON/CSV) ou da API.
Decorrido esse prazo, o Subcontratante apaga todos os dados pessoais dos sistemas de produção. Os dados são removidos das cópias de segurança no âmbito da rotação normal de 30 dias. Os dados que o Subcontratante deva conservar ao abrigo do direito da União ou do direito neerlandês (como os registos de faturação nos termos do artigo 52 da AWR - conservação fiscal de 7 anos) são mantidos durante esse prazo legal e depois destruídos.
Mediante pedido razoável, o Subcontratante disponibiliza as informações necessárias para demonstrar o cumprimento do presente DPA, incluindo as políticas de segurança e o relatório do teste de intrusão mais recente (sob NDA).
O Responsável pelo tratamento pode, no máximo uma vez a cada 12 meses e a expensas próprias, mandar realizar uma auditoria por um auditor independente. As auditorias são anunciadas com pelo menos 30 dias de antecedência, agendadas de comum acordo e não podem perturbar o serviço. As conclusões são confidenciais.
O Subcontratante não transfere dados pessoais para países terceiros fora da UE/EEE sem garantias adequadas (cláusulas contratuais-tipo da UE, certificação ao abrigo do Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework) ou outro mecanismo previsto no capítulo V do RGPD).
As garantias atuais por subcontratante ulterior constam de salonnare.com/sub-processors.
A responsabilidade ao abrigo do presente DPA está sujeita à limitação de responsabilidade prevista nos Termos de Serviço (salonnare.com/terms - secção 12).
Nada no presente DPA limita as obrigações decorrentes do artigo 82.º do RGPD; as partes continuam a ser plenamente responsáveis perante os titulares dos dados e as autoridades de controlo.
O presente DPA rege-se pelo direito neerlandês. Os litígios são submetidos ao tribunal competente de Breda, Países Baixos, salvo disposição imperativa em contrário.
Os utilizadores do Responsável pelo tratamento que participem no programa de teste ou de acesso antecipado da Salonnare podem comunicar um problema a partir da aplicação. Só quando um desses utilizadores envia ele próprio uma comunicação é que o Subcontratante recebe uma gravação dos últimos 2 minutos no ecrã (estrutura da página e interações, sem vídeo nem áudio) e, no máximo, 100 linhas da consola do navegador. Para os restantes utilizadores nada é gravado.
Finalidade - O Subcontratante utiliza estas gravações exclusivamente para investigar e corrigir o problema comunicado, e para nenhuma outra finalidade.
Salvaguardas - Os dados pessoais dos clientes finais (nomes, endereços de e-mail, números de telefone) estão assinalados na aplicação e são ocultados no dispositivo antes do envio, incluindo em atributos que possam conter um nome (como textos para leitores de ecrã, dicas de ferramenta (tooltips) e textos alternativos de imagens). As ligações que contenham um número de telefone ou um endereço de e-mail são ocultadas em todo o lado. O conteúdo de todos os campos de introdução é ocultado; o cofre de dados de saúde, as respostas aos formulários de admissão e as fotografias de clientes não são captados. Se a aplicação não receber do servidor definições de ocultação válidas, oculta com a definição mais rigorosa. As gravações são conservadas de forma cifrada (AES-256-GCM, com uma chave dedicada), só estão acessíveis a um número limitado de administradores da plataforma do Subcontratante e são apagadas automaticamente ao fim de 30 dias. Não intervém nenhum subcontratante ulterior.
Risco residual - A ocultação aplica-se aos dados assinalados como dados de clientes na aplicação. Uma gravação capta o que está no ecrã nesse momento e pode, por isso, conter dados pessoais de clientes finais apresentados como texto simples num local não assinalado, por exemplo um nome que um utilizador escreveu ele próprio numa descrição. O Subcontratante trata esses dados em conformidade com o presente DPA. A pedido do Responsável pelo tratamento, através de privacy@vaniersel.dev, o Subcontratante apaga uma gravação mais cedo ou desativa a função de feedback para os utilizadores do Responsável pelo tratamento.
Ao apresentar um pedido de importação, um utilizador do Responsável pelo tratamento pode pedir ao Subcontratante uma sugestão por IA sobre que coluna corresponde a que campo. Isto só acontece quando o utilizador o pede; sem esse pedido nada é enviado à IA, e o mapeamento pelo nome da coluna ou manual continua sempre disponível. Para o efeito, o Subcontratante recorre à Anthropic, PBC (EUA) como subcontratante ulterior.
Que dados - Os nomes das colunas e um perfil de tipo por coluna (tipo de valor, padrão de data, proporção de células vazias, comprimento). No caso de ficheiros de clientes, não é enviado nenhum valor do ficheiro: as três linhas de exemplo são inteiramente fictícias. No caso de ficheiros de produtos e de tratamentos, são enviadas três linhas de exemplo em que os endereços de e-mail, números de telefone, IBAN, códigos postais e datas antigas foram substituídos e o texto livre com mais de 40 caracteres foi omitido; se uma coluna contiver dois ou mais endereços de e-mail, números de telefone ou IBAN, nada é enviado à IA. Um ficheiro sem linha de cabeçalho e as colunas de pagamento nunca são enviados à IA; um ficheiro com dados de saúde é recusado logo no carregamento. As próprias linhas são tratadas apenas pelo Subcontratante; a IA devolve apenas um mapeamento.
Conservação e utilização pela Anthropic - A Anthropic não utiliza os dados para treinar modelos e apaga as entradas e saídas no prazo de 30 dias. Se os sistemas de segurança automatizados da Anthropic assinalarem um pedido como violando a sua política de utilização, a Anthropic pode conservar as entradas e saídas durante um período máximo de 2 anos. O Subcontratante não regista o conteúdo do pedido nem da resposta; conserva apenas a sugestão e o número de tokens utilizados.
Transferência - A Anthropic conserva os dados nos EUA; o tratamento propriamente dito pode também ocorrer noutros países fora do EEE. A Anthropic não está certificada ao abrigo do Quadro de Privacidade de Dados UE-EUA (EU-US Data Privacy Framework). A transferência assenta nas cláusulas contratuais-tipo da UE (módulo 3, de subcontratante para subcontratante) constantes do aditamento relativo ao tratamento de dados da Anthropic (anthropic.com/legal/data-processing-addendum).
Oposição - O Responsável pelo tratamento pode opor-se nos termos do artigo 6.º. A pedido, através de privacy@vaniersel.dev, o Subcontratante desativa a ajuda por IA para o Responsável pelo tratamento; a importação continua disponível.
