Contrato de Subcontratação de Tratamento de Dados (DPA) — SecretAI

Última atualização: [preencher data]

Este Contrato de Subcontratação ("DPA") faz parte integrante dos Termos de Serviço do SecretAI e é aceite pelo Profissional no momento do registo/aceitação dos Termos. Regula o tratamento de dados pessoais dos clientes do Profissional pela plataforma, nos termos do artigo 28.º do RGPD.

1. Partes e papéis

Responsável pelo tratamento: o Profissional (o utilizador que cria conta e recebe marcações), que determina as finalidades e meios do tratamento dos dados dos seus clientes.
Subcontratante: João Paulo Franceschetti (SecretAI), NIF 331 683 601, que trata esses dados por conta e segundo as instruções do Profissional, para prestar o Serviço.

2. Objeto, natureza e finalidade

O SecretAI trata dados pessoais dos clientes do Profissional com a finalidade de operar a plataforma de marcações: registo de marcações, processamento de pagamentos antecipados, envio de confirmações, lembretes e comunicações relacionadas, e gestão da agenda e ficha de cliente. O tratamento decorre enquanto durar a relação contratual (a conta do Profissional).

3. Categorias de titulares e de dados

Titulares: clientes finais do Profissional (quem faz marcações).
Dados tratados: nome, email, telefone, dados das marcações (serviço, data/hora, estado), e dados de pagamento processados pela Stripe (o SecretAI não armazena dados de cartão). O Profissional não deve introduzir na plataforma categorias especiais de dados (ex.: dados de saúde detalhados) para além do estritamente necessário à marcação.

4. Obrigações do SecretAI (subcontratante)

O SecretAI compromete-se a:

Tratar os dados apenas segundo as instruções documentadas do Profissional (incluindo estes Termos), salvo obrigação legal;
Garantir que as pessoas autorizadas a tratar os dados estão sujeitas a confidencialidade;
Adotar medidas técnicas e organizativas adequadas de segurança (encriptação de credenciais, controlo de acessos por regras de segurança na base de dados, ligações seguras);
Respeitar as condições para recorrer a subcontratantes (ponto 5);
Assistir o Profissional, na medida do possível, no cumprimento dos pedidos de exercício de direitos dos titulares (acesso, retificação, apagamento, portabilidade, etc.);
Assistir o Profissional no cumprimento das obrigações de segurança e de notificação de violações de dados;
Notificar o Profissional sem demora injustificada após ter conhecimento de uma violação de dados que afete os dados dos seus clientes;
Apagar ou devolver os dados no fim da prestação do Serviço, salvo obrigação legal de conservação;
Disponibilizar ao Profissional as informações necessárias para demonstrar o cumprimento destas obrigações.

5. Subcontratantes ulteriores

O Profissional autoriza o SecretAI a recorrer aos subcontratantes listados na Política de Privacidade (atualmente Supabase, Vercel, Stripe, Brevo e Cloudflare), sujeitos a obrigações de proteção de dados equivalentes. O SecretAI informará o Profissional de alterações relevantes a esta lista, podendo o Profissional opor-se por motivos justificados.

6. Transferências internacionais

Sempre que ocorram transferências de dados para fora do Espaço Económico Europeu, o SecretAI assegura mecanismos legais adequados (ex.: cláusulas contratuais-tipo), conforme detalhado na Política de Privacidade.

7. Responsabilidade do Profissional

O Profissional é responsável pela licitude do tratamento que determina, por informar os seus clientes nos termos do RGPD, e por não usar a plataforma para finalidades ilícitas. O Profissional garante que tem base legal para o tratamento dos dados que introduz.

8. Vigência

Este DPA vigora enquanto o SecretAI tratar dados por conta do Profissional. Cessa com o encerramento da conta, aplicando-se então as regras de apagamento/devolução de dados.

9. Lei aplicável

Este DPA rege-se pela lei portuguesa e pelo RGPD (Regulamento (UE) 2016/679).