Acordo de Tratamento de Dados (DPA)

Este Acordo de Tratamento de Dados (“DPA”) é anexo integrante dos Termos de Uso e é aceito pela profissional no momento do cadastro. Ele regula o tratamento de dados pessoais realizado por [PREENCHER: RAZÃO SOCIAL], CNPJ [PREENCHER: CNPJ] (a Operadora), por conta e ordem da profissional ou do estúdio titular da conta (a Controladora).

Objeto: a prestação dos serviços de agendamento, comunicação com clientes, ficha de anamnese e gestão financeira descritos nos Termos de Uso, na medida em que envolvam dados pessoais das clientes finais da Controladora (os Titulares).

Vigência: este DPA vigora enquanto durar a conta da Controladora e, quanto às obrigações de confidencialidade, eliminação e cooperação, pelo prazo necessário ao seu cumprimento após o encerramento.

Em caso de conflito entre este DPA e os Termos de Uso quanto ao tratamento de dados pessoais das clientes finais, prevalece este DPA.

Para os fins da Lei nº 13.709/2018 (LGPD), as partes reconhecem expressamente que, quanto aos dados pessoais das clientes finais:

Quanto aos dados cadastrais e de cobrança da própria Controladora, a Operadora atua como controladora, nos termos da Política de Privacidade.

Categorias de titulares

Clientes finais e potenciais clientes da Controladora; eventualmente responsáveis legais de clientes menores de idade; profissionais integrantes da equipe da Controladora.

Categorias de dados pessoais

• Identificação e contato: nome, telefone em formato internacional, e-mail, CPF e data de nascimento (os quatro últimos opcionais);
• Dados de atendimento: serviços, datas, horários, valores, pacotes, preferências e observações da profissional, contagem de faltas, marcação de bloqueio e o motivo do bloqueio;
• Dados da lista de espera: nome, telefone e observação, digitados no cadastro de espera e guardados separadamente da ficha da cliente;
• Dados de avaliação do atendimento: nota, comentário e nome de exibição da Titular, exibidos na página pública da Controladora quando ela aprova a avaliação;
• Dados de comunicação: registro de envio das mensagens (destinatário, modelo usado, data, hora e status de entrega). A Operadora não mantém, nesta versão, registro automático do opt-in da Titular, a prova do consentimento é obtida e guardada pela Controladora;
• Dados sensíveis: respostas da ficha de anamnese que revelem informação sobre saúde (art. 5º, II da LGPD), quando a Controladora configurar tais perguntas, acompanhadas do nome assinado pela Titular, do aceite do texto de consentimento e da data e hora do envio;
• Dados de imagem: fotos de procedimento enviadas pela Controladora, quando aplicável.

Operações de tratamento

Coleta, registro, armazenamento, organização, consulta, uso, comunicação por WhatsApp e e-mail, transmissão a sub-operadores, arquivamento, anonimização e eliminação.

Natureza e finalidade

Execução das funcionalidades contratadas pela Controladora e efetivamente disponíveis na conta dela: agendamento, confirmação, lembrete, lista de espera, ficha de anamnese e controle financeiro. Funcionalidades ainda em implantação (pacotes, campanhas segmentadas e comissões) passam a integrar este anexo quando forem liberadas, sem ampliar as categorias de dados descritas acima.

A Operadora tratará dados pessoais exclusivamente conforme as instruções documentadas da Controladora. São instruções documentadas, para todos os efeitos:

• Os Termos de Uso e este DPA;
• As configurações escolhidas pela Controladora dentro do painel (serviços, modelos de mensagem, campos e texto de consentimento da ficha de anamnese, política de agendamento e cancelamento, equipe cadastrada);
• As solicitações formais enviadas pelo canal de suporte, quando aceitas pela Operadora.

A Operadora não usará os dados das clientes finais para finalidade própria, não os venderá, não os cederá a terceiros fora da lista de sub-operadores e não os usará para treinar modelos ou construir perfis comerciais.

Se a Operadora entender que uma instrução viola a LGPD ou outra norma aplicável, informará a Controladora sem demora e poderá suspender a execução daquela instrução específica até esclarecimento. A Operadora poderá tratar dados por exigência legal ou de autoridade competente, informando a Controladora previamente, salvo quando a lei o proibir.

A Operadora garante que toda pessoa autorizada a tratar os dados pessoais está sujeita a obrigação de confidencialidade, contratual ou legal, que subsiste ao término do vínculo.

• O acesso é concedido pelo princípio do mínimo necessário e revisado periodicamente;
• O acesso da equipe de suporte a dados de uma conta ocorre apenas quando necessário à prestação do serviço solicitado pela Controladora;
• A Operadora não divulga a existência ou o conteúdo dos dados da Controladora a terceiros, salvo obrigação legal.

A Operadora adota e mantém as medidas técnicas e organizacionais abaixo, revisando-as periodicamente conforme o art. 46 da LGPD:

A Controladora autoriza, de forma geral, a contratação dos sub-operadores listados publicamente em [PREENCHER: DOMÍNIO OFICIAL]/subprocessadores, página que indica, para cada um: finalidade, categorias de dados tratadas e país de processamento.

• A Operadora impõe a cada sub-operador obrigações de proteção de dados equivalentes às deste DPA, por contrato escrito;
• A Operadora permanece integralmente responsável perante a Controladora pelos atos dos seus sub-operadores;
• Antes de incluir novo sub-operador que trate dados das clientes finais, a Operadora comunica a Controladora com 30 dias de antecedência, por e-mail e aviso no painel;
• A Controladora pode se opor de forma fundamentada dentro desse prazo. Não havendo solução técnica alternativa, a Controladora pode rescindir sem ônus e com direito à devolução proporcional dos valores pagos antecipadamente.

Parte dos sub-operadores é constituída fora do Brasil, ainda que o processamento ocorra em regiões brasileiras. A Operadora ampara essas transferências mediante a adoção das cláusulas-padrão contratuais aprovadas pela Resolução CD/ANPD nº 19/2024 (Anexo II), ou de outro mecanismo previsto no Capítulo V da LGPD que venha a ser aplicável.

A formalização dessas cláusulas com cada sub-operador é item pendente do checklist de lançamento da Operadora, com o andamento por fornecedor publicado na lista de sub-operadores. Enquanto o checklist não estiver concluído, esta cláusula descreve o mecanismo adotado, e não uma formalização já concluída com todos eles.

A Operadora mantém à disposição da Controladora, mediante solicitação pelo canal de contato, a indicação do mecanismo de transferência adotado para cada sub-operador e a confirmação da região de processamento contratada.

Os pedidos de Titulares são dirigidos à Controladora. A Operadora oferece, dentro do produto, os meios técnicos para atendê-los sem depender de chamado:

• Exportação em CSV, a qualquer momento, da carteira de clientes e dos atendimentos (data, serviço, status e valor);
• Exclusão dos dados de uma cliente específica, com anonimização imediata dos dados de identificação (nome, telefone, e-mail, CPF, data de nascimento, preferências e observações) e eliminação da ficha de anamnese, das avaliações e dos registros de foto dela;
• Eliminação automática das respostas de anamnese 365 dias após o envio, sem depender de pedido;
• Correção e atualização de dados cadastrais diretamente na ficha da cliente;
• Consulta ao aceite da ficha de anamnese: nome assinado pela Titular, aceite do texto de consentimento e data e hora do envio.

Se um Titular procurar diretamente a Operadora, ela não responderá ao pedido em nome próprio: encaminhará à Controladora em até 5 dias úteis e informará ao Titular que o pedido foi encaminhado. Para pedidos que exijam ação técnica não coberta pelas ferramentas do painel, a Operadora prestará assistência em até 10 dias úteis do recebimento da solicitação da Controladora.

A Operadora comunicará a Controladora, sem demora injustificada e em no máximo 48 horas contadas do conhecimento, qualquer incidente de segurança que possa acarretar risco ou dano relevante aos Titulares.

A comunicação conterá, na medida do disponível no momento:

• Descrição da natureza do incidente e das categorias de dados e de titulares afetados;
• Número aproximado de registros e de titulares envolvidos;
• Consequências prováveis e riscos identificados;
• Medidas técnicas e de segurança já adotadas ou propostas para mitigar os efeitos;
• Ponto de contato para informações adicionais e cronograma de atualizações.

A Operadora prestará à Controladora a assistência necessária para que esta cumpra os prazos de comunicação à ANPD e aos Titulares previstos no art. 48 da LGPD e na Resolução CD/ANPD nº 15/2024 (3 dias úteis contados do conhecimento). A comunicação de incidente pela Operadora não implica, por si só, reconhecimento de culpa.

Considerando a natureza do tratamento e as informações à sua disposição, a Operadora prestará assistência razoável à Controladora na elaboração de relatório de impacto à proteção de dados pessoais (RIPD) e em eventual consulta prévia ou requisição da ANPD, fornecendo a documentação técnica pertinente sobre a arquitetura, as medidas de segurança e o fluxo de dados.

Encerrada a relação contratual, por qualquer motivo:

• A Controladora tem pelo menos 30 dias para exportar seus dados em formato estruturado e de uso comum (CSV), pelo próprio painel;
• A Operadora elimina ou anonimiza de forma irreversível os dados pessoais das clientes finais em até 30 dias contados do pedido da Controladora, feito pelo canal de contato. Esse procedimento é executado pela Operadora e alcança também os arquivos das fotos de atendimento, que a exclusão pelo painel não apaga;
• Cópias em backup são eliminadas no ciclo de rotação seguinte: até 7 dias na recuperação a ponto no tempo do banco e o prazo da cópia externa diária;
• Permanecem armazenados apenas os dados cuja guarda seja obrigatória por lei, em especial registros financeiros e fiscais e registros de acesso à aplicação (art. 15 do Marco Civil da Internet), pelo prazo legal e sem uso para qualquer outra finalidade.

Mediante solicitação, a Operadora fornece declaração de eliminação, indicando o que foi eliminado, o que foi anonimizado e o que permanece por obrigação legal.

A Operadora disponibilizará à Controladora as informações necessárias para demonstrar o cumprimento deste DPA, na seguinte ordem de meios, do menos ao mais oneroso:

• Documentação pública: esta página, a Política de Privacidade e a lista de sub-operadores;
• Resposta a questionário de segurança e privacidade, uma vez por ano, em até 30 dias do recebimento;
• Relatórios de terceiros e certificações dos sub-operadores, quando disponíveis;
• Auditoria presencial ou remota por auditor independente sujeito a confidencialidade, mediante aviso prévio de 30 dias, limitada a uma vez por ano (salvo incidente confirmado ou determinação de autoridade), em horário comercial, sem acesso a dados de outras controladoras e com custos suportados pela Controladora solicitante.

Canal de contato da Operadora para assuntos de proteção de dados: [PREENCHER: E-MAIL DO CANAL DE PRIVACIDADE]. A Operadora é agente de tratamento de pequeno porte e mantém esse canal nos termos da Resolução CD/ANPD nº 2/2022.

Alterações relevantes deste DPA são comunicadas com 30 dias de antecedência, por e-mail e aviso no painel. Se a Controladora não concordar, poderá rescindir sem ônus antes da entrada em vigor.

A invalidade de qualquer cláusula não afeta as demais. Este DPA é regido pela legislação brasileira, com foro na comarca de [PREENCHER: COMARCA E UF], ressalvada a faculdade legal de eleição de foro diverso quando aplicável.