Acordo de Processamento de Dados (DPA)

Este Acordo de Processamento de Dados (“DPA”) é parte integrante dos Termos de Serviço do ORAS e regula o tratamento de dados pessoais dos clientes finais dos negócios de beleza e cuidados pessoais quando estes dados são processados através da plataforma. Aplica-se nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD).

1. Partes

• Responsável pelo tratamento (Controller): o negócio subscritor do ORAS, identificado na sua conta.
• Subcontratante (Processor): Verixian, Lda, com sede em Portugal.

2. Objecto e duração

A Verixian processa dados pessoais dos clientes finais do negócio exclusivamente em nome deste, para os fins descritos na Cláusula 3. A duração do processamento é a duração da subscrição activa, mais 30 dias para recuperação de dados, após o que os dados são apagados (excepto quando exista obrigação legal de conservação; ver Cláusula 9).

3. Natureza, finalidade e tipos de dados

Categorias de titulares: clientes finais do negócio.

Tipos de dados: nome, telefone, email, NIF (opcional), histórico de marcações, histórico de cartão de fidelização, notas internas introduzidas pelo negócio, dados de pagamento online (delegados à Stripe; a Verixian nunca vê dados de cartão).

Finalidades: agendamento e gestão de marcações, fidelização, comunicação transacional relacionada com marcações, faturação opcional via Moloni.

4. Obrigações da Verixian (Subcontratante)

• Processar os dados apenas em conformidade com instruções documentadas do negócio, que decorrem da utilização normal da plataforma e das funcionalidades configuradas.
• Garantir que o pessoal autorizado a aceder aos dados está vinculado a obrigações de confidencialidade.
• Implementar as medidas técnicas e organizativas descritas na Cláusula 6.
• Apoiar o negócio no cumprimento dos pedidos de exercício de direitos pelos titulares (acesso, rectificação, eliminação, portabilidade) através das funcionalidades de exportação e eliminação disponíveis em Definições → Os meus dados.
• Notificar o negócio sem atraso indevido (e nunca depois de 72 horas) caso tome conhecimento de uma violação de dados pessoais que afecte os dados processados em nome do negócio.
• Após o termo do serviço, eliminar ou devolver ao negócio todos os dados, salvo obrigação legal de conservação.

5. Subcontratantes ulteriores (subprocessadores)

O negócio autoriza a Verixian a recorrer aos subprocessadores listados em Política de Privacidade § 5. Alterações materiais à lista (adição ou substituição de subprocessador) são comunicadas por email com pelo menos 30 dias de antecedência. Caso o negócio se oponha por motivo razoável relacionado com protecção de dados, pode terminar a subscrição com reembolso pro-rata do período não usado.

Cada subprocessador está sujeito a obrigações contratuais equivalentes às deste DPA, incluindo Cláusulas Contratuais Tipo da Comissão Europeia para transferências internacionais quando aplicável.

6. Medidas técnicas e organizativas

• Encriptação em repouso (AES-256) e em trânsito (TLS 1.2+).
• Autenticação por Clerk com suporte para passkeys e MFA por email.
• Controlo de acesso baseado em papéis (owner / staff) com isolamento por negócio ao nível da base de dados (RLS, Row Level Security).
• Registo de actividade de operações sensíveis (audit log).
• Princípio do mínimo privilégio para acesso de equipa interna a produção; acessos pessoais e auditados.
• Backups automáticos diários com retenção mínima de 7 dias, encriptados.
• Não armazenamento de dados de cartão (delegado integralmente à Stripe, certificada PCI-DSS Level 1).

7. Transferências internacionais

Os dados aplicacionais residem em servidores Supabase na União Europeia. O envio de email (Mailgun) e as notificações push da app Android (Google Firebase Cloud Messaging) são processados na União Europeia. Os subprocessadores nos EUA (Vercel, Stripe, Clerk, Sentry, Apple) actuam ao abrigo das Cláusulas Contratuais Tipo da Comissão Europeia (Decisão 2021/914) e, quando aplicável, do EU-US Data Privacy Framework.

8. Auditoria

A Verixian disponibiliza, mediante pedido escrito razoável, as informações necessárias para demonstrar o cumprimento deste DPA, nomeadamente relatórios de incidentes, lista actualizada de subprocessadores e descrição das medidas técnicas em vigor. O negócio pode solicitar uma auditoria no local com 30 dias de antecedência, no horário comercial, sem disrupção das operações; os custos da auditoria são suportados pelo negócio, salvo se a auditoria revelar incumprimento material por parte da Verixian.

9. Conservação por obrigação legal

Independentemente da terminação, certos dados podem ser conservados pelos prazos exigidos por lei (em particular, dados de faturação por 10 anos, conforme Código do IVA português). Estes dados são mantidos exclusivamente para cumprimento da obrigação legal e não são tratados para outros fins.

10. Aceitação

Este DPA considera-se aceite pelo negócio através do registo na plataforma e início da subscrição. A versão aceite e a data de aceitação são registadas no perfil do negócio (Definições → Conformidade) e podem ser consultadas a qualquer momento.

11. Contacto

Para qualquer assunto de privacidade, incluindo o contacto com o Encarregado de Protecção de Dados (DPO): geral@verixian.com. Autoridade de controlo: CNPD.