Tratamento de dados (RGPD)

1. Quem é quem

Quando regista os seus clientes, os seus agendamentos e os seus pagamentos no PontoAgendado, é o seu negócio que decide porquê e para quê. Por isso o seu negócio é o responsável pelo tratamento.

Nós guardamos e tratamos esses dados por sua conta, para lhe prestar o serviço. Somos o subcontratante.

Este documento é aceite no momento do registo e vale como o contrato escrito exigido pelo artigo 28.º do Regulamento Geral sobre a Proteção de Dados.

2. Objeto, duração e finalidade

O objeto é o tratamento necessário para operar a agenda, a ficha de cliente, os serviços prestados, a faturação interna, as comissões e a marcação online do seu negócio.

A duração é a da sua subscrição, acrescida do período de conservação indicado no ponto 8.

A finalidade é exclusivamente a prestação do serviço. Não usamos estes dados para fins próprios, não os analisamos para publicidade e não os cedemos a ninguém.

3. Que dados e de quem

• Titulares: os clientes finais do seu negócio e os profissionais da sua equipa.
• Dados dos clientes: nome, telefone, correio eletrónico, número de documento quando o preenche, histórico de marcações, serviços realizados e valores pagos.
• Dados dos profissionais: nome, contacto, serviços que prestam, comissões e pagamentos.
• Observações livres: os campos de notas podem conter o que lá escrever. Recomendamos que não registe informação de saúde nem outras categorias especiais de dados sem ter fundamento legal para isso.

4. As suas instruções

Tratamos os dados apenas de acordo com as suas instruções documentadas, que são dadas através da utilização normal do serviço e dos pedidos que nos envie por escrito.

Se uma instrução sua nos parecer contrária ao RGPD, dizemos-lho antes de a cumprir.

Se a lei nos obrigar a tratar os dados de outra forma, informamo-lo antes, salvo quando a própria lei o proibir.

5. Confidencialidade e segurança

Quem, do nosso lado, tem acesso aos dados está obrigado a sigilo, e esse acesso é limitado ao estritamente necessário.

As medidas de segurança incluem cifra em trânsito, isolamento entre negócios aplicado no servidor, autenticação com token, senhas guardadas apenas em forma cifrada, limitação de pedidos e cópias de segurança.

6. Outros subcontratantes

Autoriza-nos, de forma geral, a recorrer aos fornecedores abaixo, todos vinculados a obrigações equivalentes às deste documento.

• Supabase: autenticação, base de dados e armazenamento dos ficheiros que carrega.
• Hetzner: servidores da aplicação, na Alemanha.
• Vercel: alojamento do site e do painel.
• Stripe: pagamentos da subscrição, sem acesso aos dados dos seus clientes.
• Resend: envio dos correios eletrónicos, incluindo os avisos aos seus clientes.

7. Mudanças na lista

Se quisermos acrescentar ou substituir um fornecedor, avisamos por correio eletrónico com pelo menos 30 dias de antecedência.

Se se opuser com fundamento, procuramos uma alternativa. Não a havendo, pode cancelar a subscrição sem penalização, com devolução da parte não utilizada do período já pago.

8. Devolução e apagamento

Enquanto a conta estiver ativa pode exportar os dados a qualquer momento, a partir do painel.

Terminada a subscrição, guardamos os dados durante 30 dias para permitir a recuperação da conta e em seguida eliminamo-los, incluindo das cópias de segurança no ciclo seguinte de rotação.

Se preferir que sejam apagados de imediato, basta pedir por escrito.

9. Pedidos dos titulares e incidentes

Se um cliente seu nos contactar diretamente a exercer direitos, encaminhamos o pedido para si e não respondemos em seu nome, salvo instrução sua.

Damos-lhe a assistência razoável para responder a esses pedidos e para cumprir as obrigações de segurança, avaliação de impacto e consulta prévia.

Se houver violação de dados que lhe diga respeito, comunicamos-lhe sem demora injustificada, com a informação de que dispusermos, para que possa cumprir o prazo de 72 horas perante a autoridade de controlo.

10. Demonstração e auditoria

Disponibilizamos a informação necessária para demonstrar o cumprimento destas obrigações.

Pode pedir, com aviso prévio razoável e no máximo uma vez por ano, informação adicional sobre as medidas de segurança aplicadas, salvo se um incidente justificar um pedido extraordinário.