Acordo de Processamento de Dados (DPA)

Este Acordo de Processamento de Dados (“DPA”) é parte integrante dos Termos de Serviço do ORAS e regula o tratamento de dados pessoais dos clientes finais dos negócios de beleza e cuidados pessoais quando estes dados são processados através da plataforma. Aplica-se nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD).

1. Partes

• Responsável pelo tratamento (Controller): o negócio subscritor do ORAS, identificado na sua conta.
• Subcontratante (Processor): Verixian, Lda, com sede em Portugal.

2. Objecto e duração

A Verixian processa dados pessoais dos clientes finais do negócio exclusivamente em nome deste, para os fins descritos na Cláusula 3. A duração do processamento é a duração da subscrição activa, mais 30 dias para recuperação de dados, após o que os dados são apagados (excepto quando exista obrigação legal de conservação; ver Cláusula 9). A subscrição cancelada não apaga os dados por si só: o apagamento inicia-se quando o negócio pede a eliminação da conta (Definições → Os meus dados) e o período de 30 dias conta a partir desse pedido.

Mensagens SMS e WhatsApp. O número de telefone, o texto, o estado de entrega e as respostas dos clientes finais são conservados até 400 dias depois de criados e apagados por uma tarefa automática diária, mesmo que a conta continue activa. As mensagens com valor reservado ou cobrado ainda por faturar na conta de comunicações do negócio só são apagadas depois de faturadas. Se o negócio eliminar um cliente, as mensagens que lhe foram enviadas mantêm-se, sem ligação à ficha, até esse prazo. Ao eliminar a conta, as mensagens são apagadas ou, quando ainda há faturação de comunicações por emitir, ficam sem telefone e sem texto. A Verixian apoia, a pedido do negócio, o apagamento antecipado das mensagens de um cliente.

3. Natureza, finalidade e tipos de dados

Categorias de titulares: clientes finais do negócio.

Tipos de dados: nome, telefone, email, NIF (opcional), histórico de marcações, histórico de cartão de fidelização, notas internas introduzidas pelo negócio, dados de pagamento online (delegados à Stripe; a Verixian nunca vê dados de cartão), o conteúdo das mensagens SMS e WhatsApp enviadas ao cliente e as respostas que este envie, e o registo da versão do aviso de privacidade aceite no formulário de marcação e da data e hora dessa aceitação.

Finalidades: agendamento e gestão de marcações, fidelização, comunicação transacional relacionada com marcações (email, SMS e WhatsApp), faturação opcional via Moloni.

4. Obrigações da Verixian (Subcontratante)

• Processar os dados apenas em conformidade com instruções documentadas do negócio, que decorrem da utilização normal da plataforma e das funcionalidades configuradas.
• Garantir que o pessoal autorizado a aceder aos dados está vinculado a obrigações de confidencialidade.
• Implementar as medidas técnicas e organizativas descritas na Cláusula 6.
• Apoiar o negócio no cumprimento dos pedidos de exercício de direitos pelos titulares (acesso, rectificação, eliminação, portabilidade) através das funcionalidades de exportação e eliminação disponíveis em Definições → Os meus dados, e encaminhar ao negócio os pedidos que os titulares lhe dirijam directamente.
• Notificar o negócio sem atraso indevido (e nunca depois de 72 horas) caso tome conhecimento de uma violação de dados pessoais que afecte os dados processados em nome do negócio.
• Após o termo do serviço, eliminar ou devolver ao negócio todos os dados, salvo obrigação legal de conservação.

5. Subcontratantes ulteriores (subprocessadores)

O negócio autoriza a Verixian a recorrer aos subprocessadores listados em Política de Privacidade § 5. A lista actual é: Supabase, Vercel, Clerk, Stripe, Twilio (SMS e WhatsApp), Upstash (limitação de pedidos), Mailgun (email), Google Firebase Cloud Messaging, Apple Push Notification service, Sentry, Cloudflare Turnstile e, quando as funcionalidades respectivas estão activas, Google Wallet, Apple Wallet, Moloni e Google Calendar. A Política de Privacidade indica o que cada um recebe. Na versão de 6 de outubro de 2026 a lista passou a incluir expressamente a Twilio, a Upstash e a Cloudflare. Alterações materiais à lista (adição ou substituição de subprocessador) são comunicadas por email com pelo menos 30 dias de antecedência. Caso o negócio se oponha por motivo razoável relacionado com protecção de dados, pode terminar a subscrição com reembolso pro-rata do período não usado.

Cada subprocessador está sujeito a obrigações contratuais equivalentes às deste DPA, incluindo Cláusulas Contratuais Tipo da Comissão Europeia para transferências internacionais quando aplicável.

6. Medidas técnicas e organizativas

• Encriptação em repouso (AES-256) e em trânsito (TLS 1.2+).
• Autenticação por Clerk com suporte para passkeys e MFA por email.
• Controlo de acesso baseado em papéis (owner / staff) com isolamento por negócio ao nível da base de dados (RLS, Row Level Security).
• Registo de actividade de operações sensíveis (audit log).
• Princípio do mínimo privilégio para acesso de equipa interna a produção; acessos pessoais e auditados.
• Backups automáticos diários com retenção mínima de 7 dias, encriptados.
• Não armazenamento de dados de cartão (delegado integralmente à Stripe, certificada PCI-DSS Level 1).

7. Transferências internacionais

Os dados aplicacionais residem em servidores Supabase na União Europeia. O envio de email (Mailgun) e as notificações push da app Android (Google Firebase Cloud Messaging) são processados na União Europeia. Os subprocessadores nos EUA (Vercel, Stripe, Clerk, Sentry, Twilio, Upstash, Cloudflare, Apple e, quando activos, Google Wallet e Google Calendar) actuam ao abrigo das Cláusulas Contratuais Tipo da Comissão Europeia (Decisão 2021/914) e, quando aplicável, do EU-US Data Privacy Framework. Em particular, o número de telefone e o texto das mensagens SMS e WhatsApp são tratados pela Twilio nos EUA.

8. Auditoria

A Verixian disponibiliza, mediante pedido escrito razoável, as informações necessárias para demonstrar o cumprimento deste DPA, nomeadamente relatórios de incidentes, lista actualizada de subprocessadores e descrição das medidas técnicas em vigor. O negócio pode solicitar uma auditoria no local com 30 dias de antecedência, no horário comercial, sem disrupção das operações; os custos da auditoria são suportados pelo negócio, salvo se a auditoria revelar incumprimento material por parte da Verixian.

9. Conservação por obrigação legal

Independentemente da terminação, certos dados podem ser conservados pelos prazos exigidos por lei (em particular, dados de faturação por 10 anos, conforme Código do IVA português). Estes dados são mantidos exclusivamente para cumprimento da obrigação legal e não são tratados para outros fins.

10. Aceitação

Este DPA considera-se aceite pelo negócio através do registo na plataforma e início da subscrição. A versão aceite e a data de aceitação são registadas no perfil do negócio (Definições → Conformidade) e podem ser consultadas a qualquer momento.

11. Contacto

Para qualquer assunto de privacidade, incluindo o contacto com o Encarregado de Protecção de Dados (DPO): geral@verixian.com. Autoridade de controlo: CNPD.