O presente Acordo de Tratamento de Dados ("DPA") faz parte integrante dos Termos de Serviço e regula o tratamento de dados pessoais efetuado pela Plataforma por conta do Estúdio, quando este utiliza o InkStudioo para gerir dados dos seus clientes.

Partes

• Subcontratante (Processor): a entidade que explora a marca InkStudioo (a "Plataforma"), contactável através de account@inkstudioo.app.
• Responsável pelo Tratamento (Controller): o Estúdio ou Artista titular da conta que aceita os Termos de Serviço (o "Estúdio").

1. Definições

Os termos "Dados Pessoais", "Categorias Especiais de Dados", "Tratamento", "Responsável pelo Tratamento", "Subcontratante", "Subcontratante Ulterior", "Titular dos Dados" e "Violação de Dados Pessoais" têm o significado que lhes é atribuído pelo Regulamento (UE) 2016/679 (RGPD). "Dados de Saúde" designa as respostas de anamnese e demais informação de saúde recolhida nas fichas dos clientes, enquanto categoria especial nos termos do Art. 9.º.

2. Objeto e Duração

Este DPA vigora enquanto o Estúdio mantiver uma conta ativa na Plataforma e durante todo o período em que esta trate dados pessoais por sua conta. As obrigações de confidencialidade, segurança e de eliminação/devolução de dados subsistem após a cessação.

3. Âmbito do Tratamento

A natureza, finalidade, tipos de dados pessoais e categorias de titulares encontram-se descritos no Anexo A. A Plataforma trata estes dados exclusivamente para prestar o serviço contratado.

4. Obrigações da Plataforma (Subcontratante)

Nos termos do Art. 28.º, n.º 3, do RGPD, a Plataforma compromete-se a:

• (a) Instruções documentadas: tratar os dados pessoais apenas com base nas instruções documentadas do Estúdio, incluindo no que respeita a transferências, salvo obrigação legal em contrário.
• (b) Confidencialidade: assegurar que as pessoas autorizadas a tratar os dados estão sujeitas a obrigações de confidencialidade.
• (c) Segurança: aplicar as medidas técnicas e organizativas adequadas nos termos do Art. 32.º, descritas no Anexo B.
• (d) Subcontratantes ulteriores: recorrer apenas aos subcontratantes listados no Anexo C; o Estúdio concede autorização geral, sendo informado com antecedência de qualquer alteração e podendo opor-se; as mesmas obrigações de proteção de dados são impostas a esses subcontratantes.
• (e) Direitos dos titulares: auxiliar o Estúdio, na medida do possível, a responder a pedidos de exercício de direitos (acesso, retificação, eliminação, portabilidade, oposição).
• (f) Assistência: auxiliar o Estúdio no cumprimento das obrigações de segurança, de notificação de violações e de avaliação de impacto (DPIA), tendo em conta a informação disponível.
• (g) Eliminação ou devolução: a pedido, eliminar ou devolver ao Estúdio todos os dados pessoais após o termo da prestação, salvo conservação exigida por lei.
• (h) Demonstração e auditoria: disponibilizar a informação necessária para demonstrar o cumprimento e permitir auditorias razoáveis.

5. Obrigações do Estúdio (Responsável)

• Assegurar a existência de uma base de licitude para o tratamento, incluindo o consentimento explícito dos clientes para os Dados de Saúde.
• Garantir que as instruções dadas à Plataforma são lícitas.
• Informar os seus clientes sobre o tratamento dos respetivos dados e recolher apenas os dados necessários.

6. Violação de Dados Pessoais

A Plataforma notifica o Estúdio sem demora injustificada após ter conhecimento de uma violação de dados pessoais que afete os dados tratados por conta deste, fornecendo a informação disponível para que o Estúdio possa cumprir os seus deveres de notificação à autoridade de controlo (CNPD) e, quando aplicável, aos titulares.

7. Transferências Internacionais

Os dados são alojados na União Europeia (Países Baixos). Eventuais transferências para fora do Espaço Económico Europeu — nomeadamente o Google, quando a integração de calendário é ativada — realizam-se ao abrigo de Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia ou mecanismo equivalente.

8. Responsabilidade e Lei Aplicável

Cada parte responde nos termos do Art. 82.º do RGPD. O presente DPA rege-se pela lei portuguesa, sendo competentes os tribunais portugueses, sem prejuízo das normas imperativas de defesa do consumidor.

---

Anexo A — Descrição do Tratamento

• Finalidades: agendamento, gestão de propostas, recolha de consentimentos e fichas de anamnese, comunicações com o cliente e faturação.
• Categorias de dados: identificação e contacto (nome, e-mail, telefone, NIF), data de nascimento, histórico de sessões/propostas, dados de saúde (categoria especial) e prova de consentimento (assinatura, data/hora, endereço IP, dispositivo).
• Categorias de titulares: clientes finais do Estúdio.
• Duração: conforme a Secção 2 e a política de retenção em vigor.

Anexo B — Medidas Técnicas e Organizativas

• Comunicações cifradas via HTTPS (encriptação em trânsito).
• Encriptação em repouso dos dados de saúde (categoria especial).
• Isolamento por estúdio (arquitetura multi-tenant) e controlo de acessos por papel (staff/owner).
• Cópias de segurança e registo de atividade.
• Minimização de dados e prazos de conservação definidos.

Anexo C — Lista de Subcontratantes Ulteriores

Contacto

Questões relativas a este Acordo: account@inkstudioo.app.