Acordo de Tratamento de Dados

Este acordo é celebrado nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD) e faz parte dos Termos e Condições de Utilização da Seivara.

Entre:

• a clínica ou o profissional titular da conta na Seivara (a seguir, "Responsável"), e
• (a indicar), com o NIF (a indicar) e morada em (a indicar), que presta a Seivara (a seguir, "Subcontratante").

1. Objeto

O Subcontratante trata dados pessoais por conta do Responsável para lhe prestar o serviço Seivara. O Responsável decide que dados recolhe dos seus clientes e com que finalidade; o Subcontratante trata-os apenas para esse efeito. O Anexo I descreve o tratamento.

2. Duração

O acordo vigora enquanto o Responsável tiver conta na Seivara e, depois disso, até os dados serem devolvidos ou apagados nos termos da cláusula 11.

3. Instruções do Responsável

O Subcontratante trata os dados apenas segundo instruções documentadas do Responsável. Consideram-se instruções a utilização do serviço tal como está descrito nos Termos e Condições e as configurações que o Responsável nele fizer.

Se o Subcontratante entender que uma instrução viola o RGPD ou outra norma de proteção de dados, informa o Responsável sem demora. Se a lei obrigar o Subcontratante a um tratamento diferente, este informa o Responsável antes de o fazer, salvo se a lei o proibir.

4. Confidencialidade

O Subcontratante garante que as pessoas autorizadas a tratar os dados estão obrigadas a confidencialidade e que só acedem aos dados na medida do necessário para prestar o serviço, garantir a sua segurança ou prestar assistência pedida pelo Responsável.

5. Segurança

O Subcontratante aplica as medidas técnicas e organizativas descritas no Anexo II e mantém-nas adequadas ao risco. Pode alterá-las, desde que o nível de proteção não diminua.

O Responsável é responsável por usar o serviço de forma segura: proteger as suas palavras-passe, limitar o acesso às pessoas que dele precisam e decidir com cuidado o que partilha para fora da Seivara.

6. Outros subcontratantes

O Responsável autoriza o Subcontratante a recorrer aos subcontratantes indicados no Anexo III.

O Subcontratante avisa o Responsável com pelo menos 30 dias de antecedência antes de acrescentar ou substituir um subcontratante. O Responsável pode opor-se por motivo fundamentado; se não for possível uma solução, pode pôr fim ao contrato sem penalização.

O Subcontratante celebra com cada um deles um contrato com obrigações de proteção de dados equivalentes às deste acordo e responde perante o Responsável pelo cumprimento dessas obrigações.

7. Transferências para fora da União Europeia

Os dados são guardados na União Europeia. Quando um subcontratante tiver sede ou puder aceder aos dados a partir de um país terceiro, a transferência só é feita com as garantias dos artigos 44.º e seguintes do RGPD. Os acordos de tratamento de dados da Supabase e da Vercel incluem, para esse efeito, as cláusulas contratuais-tipo aprovadas pela Comissão Europeia (Decisão de Execução (UE) 2021/914).

8. Direitos dos titulares

Se um titular de dados se dirigir ao Subcontratante para exercer os seus direitos, este encaminha o pedido para o Responsável sem demora e não lhe responde diretamente, salvo instrução em contrário.

O serviço permite ao Responsável consultar, corrigir e apagar os dados dos seus clientes. Quando isso não bastar, o Subcontratante presta a assistência razoável para o Responsável responder aos pedidos dentro do prazo legal.

9. Violações de dados pessoais

O Subcontratante notifica o Responsável sem demora injustificada, e em qualquer caso no prazo de 48 horas depois de tomar conhecimento, de qualquer violação de dados pessoais que afete os dados tratados ao abrigo deste acordo. A notificação indica o que se sabe sobre a natureza da violação, os dados e as pessoas afetadas, as consequências prováveis e as medidas tomadas ou propostas, e é completada à medida que houver mais informação.

10. Assistência e demonstração de conformidade

O Subcontratante presta ao Responsável a assistência razoável para este cumprir as suas obrigações de segurança, de notificação de violações, de avaliação de impacto e de consulta prévia à autoridade de controlo, tendo em conta a natureza do tratamento e a informação de que dispõe.

O Subcontratante disponibiliza a informação necessária para demonstrar o cumprimento deste acordo e permite auditorias, feitas pelo Responsável ou por um auditor por este mandatado, com aviso prévio de 30 dias, no máximo uma vez por ano salvo em caso de violação de dados, e sem pôr em causa a segurança dos dados de outros clientes.

11. Devolução e eliminação dos dados

Enquanto a conta estiver ativa, o Responsável pode obter os dados dos seus clientes através do serviço, incluindo, a qualquer momento, uma cópia completa: folhas de cálculo, os dados num formato estruturado e de uso corrente (JSON) e os ficheiros.

Quando o contrato terminar, o Subcontratante apaga os dados no prazo de 90 dias, salvo se o Responsável pedir antes a sua devolução ou se a lei obrigar a conservá-los. As cópias de segurança são apagadas no ciclo normal de renovação, no máximo em (a indicar).

Durante a vigência do contrato, as fichas que o Responsável eliminar são apagadas definitivamente ao fim de 30 dias.

12. Responsabilidade

Cada parte responde pelos danos que causar por violar o RGPD ou este acordo, nos termos do artigo 82.º do RGPD e dos Termos e Condições.

13. Disposições finais

Em caso de conflito entre este acordo e os Termos e Condições em matéria de proteção de dados, prevalece este acordo. Aplica-se a lei portuguesa e é competente o tribunal indicado nos Termos e Condições.

---

Anexo I — Descrição do tratamento

Anexo II — Medidas técnicas e organizativas

Só devem ficar aqui as medidas que existam de facto à data da assinatura.

• Cifra. As ligações ao serviço são cifradas (TLS). Os dados são cifrados em repouso pelo fornecedor da base de dados e do armazenamento.
• Separação entre clínicas. Cada clínica só acede aos seus dados, por regras de acesso aplicadas na própria base de dados a todas as tabelas e aos ficheiros.
• Separação dentro da clínica. A parte clínica de cada ficha só responde ao nutricionista que acompanha o cliente e ao responsável pela clínica; os colegas e o secretariado veem só o nome, os contactos, a faturação e as marcações. A regra é aplicada na base de dados, não só nos ecrãs.
• Autenticação. Acesso por email e palavra-passe; os links enviados para o email servem para confirmar o endereço e para mudar a palavra-passe, que só se muda com um desses links. As palavras-passe são guardadas de forma não reversível.
• Ficheiros anexados. Guardados em armazenamento privado; só se abrem com sessão iniciada na clínica e por endereços que caducam em poucos minutos. Um documento partilhado com o cliente tem um endereço próprio com prazo; deixar de o partilhar muda o ficheiro de sítio.
• Páginas por link. A página do cliente, o questionário, a confirmação da consulta e a página de marcações abrem por códigos longos e aleatórios, através de funções da base de dados que só devolvem o necessário, sem cache e fora dos motores de busca. O link da página do cliente vale seis meses e pode ser apagado a qualquer momento. O que estas páginas escrevem (mensagens, diário, respostas, pedidos) é validado outra vez na base de dados; as mensagens e o diário têm limites para quem escreva demais, e o questionário só se responde uma vez, dentro do prazo.
• Fotografias do diário alimentar. Só JPEG, reduzidas no telemóvel, guardadas em armazenamento fechado, numa pasta própria de cada cliente com um nome aleatório, que só se abre com o diário ligado e o link em vigor; abrem-se por endereços que caducam. Apagar um registo ou uma ficha apaga primeiro as fotografias.
• Relatórios de análises. Os PDF e as fotografias de relatórios são lidos no próprio aparelho de quem usa e não são enviados; guardam-se só os valores conferidos.
• Contas ligadas. O acesso às contas Google e Zoom do profissional é guardado cifrado, só no servidor, e apagado ao desligar.
• Localização. Base de dados e ficheiros em Paris; a aplicação está configurada para correr em Paris (ver a cláusula 7 quanto ao que o fornecedor de alojamento pode tratar fora da União).
• Minimização. Sem ferramentas de estatística nem de publicidade de terceiros; os tipos de letra são servidos pelo próprio serviço.
• Eliminação. Fichas eliminadas são apagadas definitivamente ao fim de 30 dias, com os ficheiros que lhes pertencem.
• Partilha para fora do serviço. O link da agenda para outros calendários é opcional, tem um código longo e aleatório, mostra por omissão só as iniciais dos clientes e pode ser trocado ou apagado a qualquer momento.
• (a indicar)
• (a indicar)

Anexo III — Subcontratantes autorizados