Anexo I: Acordo de Subcontratação

1. Partes e qualidades

Responsável pelo tratamento ("Responsável"): o Negócio subscritor. Subcontratante: [NOME COMPLETO], NIF [NIF], com morada em [MORADA], que explora a plataforma Üsmarka.

O Responsável determina as finalidades e os meios do tratamento dos dados dos seus clientes finais e do seu pessoal. O Subcontratante trata esses dados exclusivamente por conta e mediante instruções documentadas do Responsável.

Este Acordo não abrange os tratamentos em que a Üsmarka atua como responsável por direito próprio (gestão da subscrição, faturação, segurança da plataforma, processamento de pagamentos e registos técnicos), que estão descritos na Política de Privacidade.

2. Objeto, duração, natureza e finalidade

Objeto: tratamento de dados pessoais necessário à prestação do serviço de marcações online descrito nos Termos.

Duração: vigora enquanto durar a subscrição, e após o seu termo pelo prazo necessário à devolução ou eliminação dos dados nos termos da cláusula 10.

Natureza e finalidade: recolha, registo, organização, conservação, consulta, utilização, alteração, comunicação por transmissão (notificações a clientes finais), apagamento e destruição, para efeitos de gestão de marcações, de agenda, de clientes, de comunicações automáticas e de cobrança de sinais.

3. Tipos de dados pessoais

Clientes finais: nome, telefone, email, histórico de marcações (serviço, profissional, data, hora, estado, preço), notas introduzidas pelo Responsável, fotografias de resultado quando carregadas pelo Responsável, contadores de faltas e de cancelamentos, pontuação de risco calculada, estado de pagamento e de reembolso, preferências de comunicação e pedidos de não contacto.

Pessoal do Responsável: nome, fotografia, cargo, serviços prestados, horários e folgas, e credenciais de acesso quando aplicável.

4. Categorias de titulares

Clientes finais do Responsável, e colaboradores e prestadores do Responsável.

5. Categorias especiais de dados: proibição expressa

6. Obrigações do Subcontratante

O Subcontratante obriga-se a:

• a) Tratar os dados apenas mediante instruções documentadas do Responsável, incluindo quanto a transferências para países terceiros, salvo se obrigado por direito da União ou de Estado-Membro, caso em que informa o Responsável antes do tratamento, salvo proibição legal. Constituem instruções documentadas os Termos, este Acordo e as configurações que o Responsável define no painel.
• b) Informar imediatamente o Responsável se considerar que uma instrução viola o RGPD ou outra legislação de proteção de dados.
• c) Assegurar que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade, contratual ou legal.
• d) Aplicar as medidas técnicas e organizativas descritas no Apêndice A.
• e) Respeitar as condições de subcontratação ulterior previstas na cláusula 7.
• f) Auxiliar o Responsável, na medida do possível e tendo em conta a natureza do tratamento, a responder a pedidos de exercício de direitos dos titulares. As funcionalidades da Plataforma permitem ao Responsável aceder, corrigir, exportar e apagar os dados dos seus clientes de forma autónoma. Quando essas funcionalidades não bastarem, o Subcontratante presta assistência razoável.
• g) Auxiliar o Responsável a cumprir as obrigações dos artigos 32.º a 36.º do RGPD (segurança, notificação de violações, avaliações de impacto e consulta prévia), tendo em conta a natureza do tratamento e a informação disponível.
• h) Notificar o Responsável sem demora injustificada e, sempre que possível, no prazo de 48 horas após ter conhecimento de uma violação de dados pessoais, prestando as informações de que disponha para permitir ao Responsável cumprir o artigo 33.º do RGPD. A notificação inicial não é retardada por falta de informação completa.
• i) Eliminar ou devolver os dados nos termos da cláusula 10.
• j) Disponibilizar ao Responsável a informação necessária para demonstrar o cumprimento deste Acordo, nos termos da cláusula 9.

7. Subcontratantes ulteriores

7.1. O Responsável concede autorização geral prévia ao Subcontratante para recorrer aos subcontratantes ulteriores listados no Apêndice B.

7.2. O Subcontratante celebra com cada subcontratante ulterior um contrato escrito que lhe imponha obrigações de proteção de dados não menos exigentes que as deste Acordo.

7.3. O Subcontratante mantém-se integralmente responsável perante o Responsável pelo cumprimento das obrigações do subcontratante ulterior.

7.4. Antes de acrescentar ou substituir um subcontratante ulterior, o Subcontratante informa o Responsável com pelo menos 30 dias de antecedência, por email e no sítio eletrónico. O Responsável pode opor-se, com fundamento razoável e por escrito, dentro desse prazo. Se a oposição não puder ser acomodada, o Responsável pode resolver a subscrição sem penalização, com reembolso proporcional dos períodos pagos e não utilizados.

8. Transferências internacionais

8.1. Sempre que um tratamento envolva transferência de dados para fora do Espaço Económico Europeu, o Subcontratante assegura a existência de uma base válida ao abrigo do Capítulo V do RGPD, designadamente decisão de adequação ou Cláusulas Contratuais-Tipo aprovadas pela Decisão de Execução (UE) 2021/914, com as garantias complementares que se mostrem necessárias.

8.2. O Responsável mandata o Subcontratante para celebrar, em seu nome e por sua conta, as Cláusulas Contratuais-Tipo aplicáveis com os subcontratantes ulteriores.

8.3. O Apêndice B indica a localização do tratamento de cada subcontratante ulterior.

9. Auditoria

9.1. O Subcontratante disponibiliza ao Responsável, mediante pedido escrito e fundamentado, a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD, incluindo a descrição das medidas técnicas e organizativas e, quando existam, certificações ou relatórios de auditoria dos subcontratantes ulteriores.

9.2. Quando essa informação não for suficiente, o Responsável pode realizar uma auditoria, por si ou por auditor independente sujeito a dever de confidencialidade, mediante aviso prévio de 30 dias, em horário normal de trabalho, no máximo uma vez por ano civil: salvo na sequência de uma violação de dados ou por determinação de autoridade de controlo, casos em que não há limite de frequência.

9.3. Os custos da auditoria correm por conta do Responsável, salvo se dela resultar incumprimento relevante do Subcontratante.

10. Eliminação e devolução dos dados

10.1. Cessada a prestação do serviço, o Responsável dispõe de 30 dias para exportar os dados através das funcionalidades da Plataforma.

10.2. Findo esse prazo, o Subcontratante elimina os dados dos sistemas ativos.

10.3. As cópias de segurança são eliminadas no ciclo normal de rotação, no prazo máximo de [NÚMERO DE DIAS] dias, período durante o qual permanecem cifradas e inacessíveis para utilização.

10.4. O Subcontratante pode conservar dados para além destes prazos apenas na medida em que o direito da União ou nacional o exija, informando o Responsável dessa exigência.

11. Tratamento automatizado: pontuação de risco

11.1. A Plataforma calcula automaticamente uma pontuação de risco por cliente final, a partir do histórico de faltas, cancelamentos e marcações cumpridas desse cliente nesse Negócio, e pode exigir sinal antecipado quando o limiar configurado pelo Responsável for ultrapassado.

11.2. Este tratamento é realizado por instrução e sob controlo do Responsável, que define o limiar, pode desativar a funcionalidade e pode corrigir manualmente os contadores e dispensar a exigência de sinal em casos concretos.

11.3. Não existe qualquer partilha de pontuações, de contadores de faltas ou de listas de clientes entre Negócios diferentes. O Subcontratante obriga-se a não criar, a partir destes dados, qualquer base de dados comum, lista negra partilhada ou serviço de referência entre Responsáveis, sem celebração prévia de acordo específico com cada Responsável e sem cumprimento autónomo dos deveres de informação perante os titulares.

11.4. Compete ao Responsável informar os seus clientes da existência desta decisão automatizada e assegurar os direitos do artigo 22.º, n.º 3 do RGPD, designadamente o direito a intervenção humana, a manifestar o seu ponto de vista e a contestar a decisão. O Subcontratante disponibiliza, no aviso de privacidade do formulário público e na Política de Privacidade, a informação sobre a lógica subjacente, e disponibiliza no painel os meios para o Responsável intervir.

12. Responsabilidade

12.1. Cada parte responde nos termos do artigo 82.º do RGPD.

12.2. A responsabilidade agregada do Subcontratante ao abrigo deste Acordo está sujeita ao limite previsto na cláusula 11.3 dos Termos, com exceção das situações que a lei imperativa não permita limitar, designadamente as elencadas na cláusula 11.4 dos Termos, e das coimas ou indemnizações que resultem de incumprimento doloso ou gravemente negligente do Subcontratante.

13. Vigência e alterações

Este Acordo vigora enquanto durar a subscrição. Alterações seguem o regime da cláusula 14 dos Termos. Se a lei ou uma decisão de autoridade competente exigir alteração deste Acordo, as partes negoceiam de boa fé a adaptação necessária.

Apêndice A: Medidas técnicas e organizativas (artigo 32.º do RGPD)

Controlo de acesso lógico

Autenticação por email e palavra-passe; palavras-passe guardadas com função de derivação de chave, nunca em texto legível. Isolamento entre Negócios garantido por políticas de segurança ao nível da linha (Row Level Security) na base de dados, de modo a que as consultas de um Negócio não possam devolver dados de outro. Acesso a dados de produção restrito ao titular da Üsmarka e apenas quando necessário para suporte ou resolução de avarias.

Cifragem

Cifragem em trânsito por TLS em todas as ligações. Cifragem em repouso na base de dados e no armazenamento de ficheiros. Os dados de cartão de pagamento nunca transitam nem são guardados nos sistemas da Üsmarka: são introduzidos diretamente nos formulários do Stripe.

Integridade e disponibilidade

Cópias de segurança automáticas com retenção de [NÚMERO] dias. Registo de erros e de acessos, com retenção de 12 meses. Proteção do formulário público de marcação contra automatização abusiva através do Cloudflare Turnstile.

Medidas organizativas

Dever de confidencialidade das pessoas com acesso. Princípio da minimização: são pedidos apenas os dados necessários à marcação. Proibição contratual de introdução de categorias especiais de dados. Procedimento de resposta a violações de dados com notificação ao Responsável em 48 horas.

Recuperação

Restauro a partir de cópia de segurança. Objetivos indicativos: RPO [24 HORAS], RTO [48 HORAS].

Apêndice B: Subcontratantes ulteriores autorizados

A lista atualizada está permanentemente disponível em usmarka.pt/subcontratantes.

Este Acordo faz parte integrante dos Termos e Condições de Utilização da Üsmarka.