Contrato de Subcontratação de Dados
Versão: 2026-09-21
Este contrato cumpre o artigo 28.º do RGPD e regula o tratamento, por Bárbara Heloísa Bettencourt Cravo, dos dados pessoais que o profissional introduz na plataforma sobre os seus próprios clientes.
1. Partes
- Responsável pelo tratamento: o profissional titular da conta, que decide que dados recolhe dos seus clientes e para quê.
- Subcontratante: Bárbara Heloísa Bettencourt Cravo, —, que trata esses dados apenas por conta do responsável.
Para os dados da própria conta (nome, email, faturação) a plataforma é responsável pelo tratamento — esse caso é tratado na Política de Privacidade.
2. Objeto e duração
O tratamento efetuado por conta do responsável tem as seguintes características:
| Finalidade | Alojar e processar os dados necessários à gestão de agenda, fichas de cliente, documentos, pagamentos e notificações do responsável. |
|---|---|
| Duração | Enquanto a conta existir. Após pedido de eliminação, os dados são apagados no prazo de 30 dias. |
| Natureza | Recolha, registo, organização, conservação, consulta, utilização, transmissão ao próprio titular e apagamento. |
| Categorias de dados | Nome, contactos, morada, notas do profissional, campos configuráveis da ficha, histórico de sessões, valores e documentos carregados. |
| Titulares dos dados | Clientes do responsável e, quando aplicável, os seus encarregados de educação. Podem incluir menores. |
| Categorias especiais | Consoante a área do responsável, os dados podem incluir informação de saúde (art. 9.º do RGPD). O responsável obriga-se a garantir fundamento legal adequado para esse tratamento. |
3. Obrigações do responsável
- Garantir que tem fundamento legal para recolher e tratar os dados que introduz.
- Informar os seus clientes sobre o tratamento, incluindo o recurso a esta plataforma.
- Manter os dados exatos e atualizados, e apagar o que deixar de ser necessário.
- Dar instruções lícitas. A utilização normal da plataforma vale como instrução documentada.
4. Obrigações do subcontratante
- Tratar os dados apenas segundo as instruções do responsável, salvo obrigação legal.
- Assegurar que quem acede aos dados está vinculado a dever de confidencialidade.
- Aplicar as medidas técnicas e organizativas descritas no ponto seguinte.
- Disponibilizar as ferramentas de exportação e eliminação que permitem ao responsável dar resposta aos pedidos dos titulares.
- Notificar o responsável sem demora injustificada ao tomar conhecimento de uma violação de dados.
- Apagar ou devolver os dados no fim da prestação, à escolha do responsável.
- Disponibilizar a informação necessária para demonstrar o cumprimento destas obrigações.
5. Medidas de segurança
Medidas atualmente implementadas:
- palavras-passe guardadas com hash bcrypt, nunca em texto simples;
- ligação cifrada (HTTPS) quando a plataforma é servida através de um domínio com certificado;
- isolamento por conta: cada consulta à base de dados é filtrada pela conta autenticada;
- documentos guardados fora da pasta pública e acessíveis apenas por código único ou por utilizador autenticado.
Nesta fase não existe cifragem dos dados em repouso nem rotina automática de cópias de segurança. Estas medidas dependem do alojamento escolhido e serão descritas aqui quando estiverem implementadas.
6. Subcontratantes ulteriores
O responsável autoriza o recurso aos subcontratantes ulteriores indicados abaixo. Qualquer alteração será comunicada com antecedência, podendo o responsável opor-se e cessar o contrato.
| Entidade | Finalidade | Localização |
|---|---|---|
| OVH SAS | Alojamento da aplicação e da base de dados | França (União Europeia) |
7. Transferências internacionais
Os dados são tratados em França (União Europeia). Não estão previstas transferências para fora do Espaço Económico Europeu.
8. Cessação
Ao encerrar a conta, os dados são apagados definitivamente ao fim de 30 dias, período durante o qual o responsável pode exportá-los ou reverter o pedido.
9. Responsabilidade
Cada parte responde pelos danos que causar por incumprimento das tuas obrigações nos termos do artigo 82.º do RGPD.
10. Aceitação
Este contrato é aceite no momento do registo e a aceitação fica registada com data, versão e endereço IP. Alterações materiais originam uma nova versão, comunicada com antecedência.