Accord de traitement des données

Partes

Responsável pelo tratamento: o Cliente identificado na conta do MarkBarber. Subcontratante: [NOME COMPLETO], trabalhador independente, NIF [NIF], com o nome comercial Aguiar Tech, [MORADA]. Este Acordo integra os Termos de Utilização e prevalece sobre eles em matéria de dados pessoais.

1. Objeto, duração, natureza e finalidade

Objeto: prestação do serviço MarkBarber. Duração: a do contrato e o período de devolução/apagamento. Natureza: alojamento, organização, consulta, envio de mensagens e exportação. Finalidades: Gestão de marcações, lembretes e cancelamentos por conta da barbearia (execução de contrato entre a barbearia e o seu cliente). Cobrança de sinal anti-falta, quando ativado pela barbearia, com informação prévia ao cliente (art. 442.º do Código Civil). Mensagens de aniversário, vouchers e pedidos de avaliação, apenas com consentimento ou interesse legítimo e sempre com opção de saída.

2. Tipos de dados e titulares

Titulares: clientes da barbearia que marcam serviços; profissionais/colaboradores da barbearia; utilizadores da conta do Cliente. Dados: nome; telemóvel; e-mail (opcional); histórico de marcações, faltas e cancelamentos; dia e mês de aniversário (só com consentimento); vouchers e cartão de fidelização; estado do sinal (sem dados de cartão: o pagamento é feito no fornecedor de pagamentos); avaliações e comentários.

3. Obrigações do Subcontratante (art. 28.º/3)

a) Tratar os dados apenas mediante instruções documentadas do Responsável, incluindo quanto a transferências para países terceiros;

b) Garantir que as pessoas autorizadas assumiram compromisso de confidencialidade;

c) Adotar as medidas de segurança do art. 32.º descritas no Anexo I;

d) Respeitar as condições de recurso a subcontratantes ulteriores (cláusula 4);

e) Prestar assistência ao Responsável na resposta a pedidos de exercício de direitos;

f) Prestar assistência no cumprimento dos arts. 32.º a 36.º (segurança, violações, AIPD, consulta prévia);

g) No fim do contrato, devolver (exportação CSV) e apagar os dados, no prazo de 30 dias, salvo obrigação legal de conservação;

h) Disponibilizar a informação necessária para demonstrar o cumprimento e permitir auditorias, com aviso prévio razoável.

4. Subcontratantes ulteriores

O Responsável dá autorização geral para os subcontratantes abaixo. O Operador informará com 30 dias de antecedência qualquer adição ou substituição, podendo o Responsável opor-se fundamentadamente.

Fornecedor de alojamento e base de dados (a definir, ex.: Neon/Hetzner): alojamento da aplicação e base de dados (UE)

Meta Platforms Ireland Ltd. (WhatsApp Cloud API): envio de mensagens WhatsApp (Irlanda/EUA, DPF)

Resend, Inc.: envio de e-mail transacional (EUA, DPF/CCT)

Stripe Payments Europe Ltd.: cobrança da subscrição (Irlanda)

Moloni / InvoiceXpress / Vendus (o escolhido pelo Cliente): emissão de faturas no programa certificado do Cliente (Portugal)

easypay - Instituição de Pagamento, Lda. ou ifthenpay, Lda. (o escolhido): cobrança do sinal MB WAY/Multibanco (Portugal)

5. Violações de dados

O Subcontratante notifica o Responsável sem demora injustificada, e se possível em 48 horas, após ter conhecimento de uma violação de dados pessoais, com a informação do art. 33.º/3 disponível.

6. Obrigações do Responsável

Garantir a licitude do tratamento, a informação aos titulares e, quando necessário, o consentimento (ex.: mensagens promocionais, datas de aniversário).

Anexo I: Medidas técnicas e organizativas

Cifragem em trânsito (TLS); palavras-passe com bcrypt; isolamento lógico por cliente; acesso por perfis; registo de auditoria; segredos em variáveis de ambiente; cópias de segurança diárias do fornecedor de base de dados; verificação de assinatura em webhooks; princípio do menor privilégio.