Acordo de Tratamento de Dados (DPA)

Entre o Akylen (subcontratante) e o Salão (responsável pelo tratamento)

⚠️ Disclaimer crítico: Este documento é um template de base elaborado pela equipa Akylen como ponto de partida. NÃO constitui aconselhamento jurídico. Recomenda-se firmemente a revisão por jurista qualificado antes da assinatura ou utilização em contexto contratual real. As cláusulas podem necessitar de ajustes consoante a jurisdição aplicável ao salão, o volume de tratamento, e eventuais regimes especiais.

🔴 Correção 2026-09-18 — dados de saúde SÃO recolhidos. Até esta versão esta nota dizia «e.g. dados de saúde se forem efetivamente recolhidos», e a Cláusula 4 enumerava cinco categorias sem nenhuma de saúde. Desde 2026-09-14 o produto tem um módulo de ficha clínica que os recolhe, quando o Salão o ativa — ver a nova Cláusula 4.6. O regime do Art. 9.º RGPD deixou de ser hipotético neste Acordo: a revisão por jurista passou a incidir sobre um tratamento que existe, não sobre um cenário.

Versão: 2.1 — 2026-09-18 (acrescenta a Cláusula 4.6 — dados de saúde — e a categoria de titulares «representantes legais»; ver nota de reconciliação de 2026-09-18 abaixo). Versão anterior: 2.0 — 2026-06-09 (canónico único; reconcilia o BLOCO 277 com o template v0 e aplica as decisões cravadas pelo Brad em 2026-06-08). Próxima revisão obrigatória: quando houver mudança em subcontratantes ulteriores, em fluxo de transferência internacional, ou em obrigações legais aplicáveis.

Nota de reconciliação (2026-09-18): esta versão corrige factos, não renegoceia cláusulas. Foram alterados três sítios, todos de enumeração — exactamente os elementos que o Art. 28.º/3 RGPD manda o contrato especificar: (1) o disclaimer do topo, que tratava dados de saúde como hipótese; (2) a Cláusula 4, que ganhou a alínea 4.6 (dados de saúde) e um esclarecimento em 4.2, que continuava verdadeira mas fazia concluir que o produto não trata saúde; (3) a Cláusula 5, que não previa o representante legal de titular menor, cujos nome e relação são conservados. O que não foi alterado, e fica identificado para decisão: as medidas do Art. 32.º (Cláusula 9) perante categoria especial, o dever de sigilo (7.2) perante dados de saúde, a articulação entre o prazo da ficha clínica e a janela de 6 meses das Cláusulas 6 e 13.3, e a ausência de cláusula que reflicta o parágrafo final do Art. 28.º/3 (informar o responsável quando uma instrução viole o regulamento).

Nota de reconciliação (2026-06-09): este ficheiro substitui e funde o antigo template docs/legal/v0/dpa-template-pt-PT.md (eliminado). Foram aplicadas três correções factuais identificadas na pesquisa research-rgpd-cnpd-portugal-saas-2026-06-08.md: (1) localização da base de dados (UE — Paris, eu-west-3, após migração de 2026-06-08; já não é Reino Unido); (2) inclusão de Stripe, Cloudflare e PostHog na lista de subcontratantes ulteriores; (3) transferências para os EUA assentes no Data Privacy Framework (DPF) como mecanismo primário e nas SCCs como salvaguarda (não apenas SCCs).

1. Partes

Subcontratante (a seguir "Akylen" ou "operador"):

• Denominação: Bradley Hick Rocha Martins (empresário em nome individual; designação comercial Akylen)
• NIF: 321820673
• Sede: Rua Capitães de Abril 29 - 12A, 2650-351 Amadora, Portugal
• Contacto para questões de proteção de dados: dpo@akylen.com

Responsável pelo tratamento (a seguir "Salão" ou "controlador"):

• Denominação: ______________________________ (a preencher pelo Salão)
• NIPC: ______________________________ (a preencher pelo Salão)
• Sede: ______________________________ (a preencher pelo Salão)
• Representante legal: ______________________________ (a preencher pelo Salão)
• Contacto: ______________________________ (a preencher pelo Salão)

Data de início da vigência: ______________ (a preencher na assinatura; vinculada ao início da subscrição do SaaS Akylen pelo Salão).

2. Definições

Para efeitos deste Acordo, aplicam-se as definições do Regulamento (UE) 2016/679 (RGPD) e da Lei Geral de Proteção de Dados brasileira (LGPD, Lei 13.709/2018):

• Dados pessoais: qualquer informação relativa a uma pessoa singular identificada ou identificável (Art. 4(1) RGPD; Art. 5º I LGPD).
• Tratamento: qualquer operação efetuada sobre dados pessoais (recolha, registo, organização, conservação, alteração, consulta, divulgação, eliminação, etc.).
• Responsável pelo tratamento / Controlador: a entidade que determina as finalidades e os meios do tratamento (Art. 4(7) RGPD; Art. 5º VI LGPD) — neste Acordo, o Salão.
• Subcontratante / Operador: a entidade que trata dados pessoais por conta do responsável (Art. 4(8) RGPD; Art. 5º VII LGPD) — neste Acordo, o Akylen.
• Titular dos dados: a pessoa singular identificada ou identificável (cliente final do salão, profissional, colaborador).
• Subcontratante ulterior: outra entidade contratada pelo Akylen para apoiar a prestação do serviço (Art. 28(2) RGPD; Art. 39 LGPD).
• Violação de dados: violação da segurança que provoque destruição, perda, alteração, divulgação ou acesso não autorizados (Art. 4(12) RGPD; Art. 48 LGPD).

3. Objeto e finalidade

O Akylen disponibiliza ao Salão uma plataforma SaaS para gestão operacional de:

• agenda de marcações (clientes, serviços, profissionais);
• catálogo de clientes e respetivas notas operacionais;
• comunicações automatizadas (SMS, WhatsApp, email) ligadas à relação operacional;
• relatórios e indicadores operacionais.

O Salão recolhe e introduz no Akylen dados pessoais de titulares (clientes finais do salão, profissionais, eventual equipa) com a finalidade exclusiva de operar o seu negócio. O Akylen trata esses dados exclusivamente sob instrução documentada do Salão e para os fins acima descritos. Qualquer tratamento adicional pelo Akylen requer instrução escrita do Salão ou determinação legal aplicável ao subcontratante.

4. Tipos de dados pessoais tratados

O Akylen trata, em nome do Salão, as seguintes categorias de dados:

4.1 Dados de identificação e contacto de clientes finais

• Nome
• Telefone (formato E.164)
• Email (opcional)
• NIF (opcional; dado fiscal sensível em PT)
• Data de nascimento (opcional)

4.2 Dados operacionais

• Histórico de marcações (data, hora, serviço, profissional, status, preço, notas internas — até 500 caracteres)
• Notas livres sobre o cliente: observação interna (até 300 caracteres) e alerta visual (até 120 caracteres) — o Salão é responsável por NÃO introduzir nestes campos dados sensíveis (saúde, opiniões políticas, origem racial/étnica, etc.) salvo base legal específica.

⚠️ Esta regra é sobre ESTES campos, e não significa que o Akylen não trate dados de saúde. São dois sítios distintos, com regimes distintos: a nota livre da ficha operacional não é o lugar de dados de saúde e continua a não o ser (não tem consentimento associado, é visível a toda a equipa e não tem prazo próprio); a ficha clínica da Cláusula 4.6 é um conjunto de campos concebido para os recolher e só opera com consentimento explícito do titular registado. Ler esta alínea como «o produto não recolhe dados de saúde» é uma leitura errada do Acordo.

4.3 Dados de comunicação

• Registos de SMS/WhatsApp enviados (telefone destinatário, corpo da mensagem, estado de entrega, custo, canal preferido)
• Registos de emails de autenticação enviados (destinatário, tipo de email, identificador do provedor)

4.4 Dados da equipa do Salão (utilizadores do produto)

• Email de início de sessão
• Função no salão (proprietário, gestor, rececionista, profissional)
• Fator de autenticação em dois passos (quando ativado)

4.5 Dados de auditoria

• Registos de eventos sensíveis (início de sessão, alteração de configuração, envio de SMS, exportação de dados, etc.) com identificador do utilizador autor da ação e timestamp UTC. Dados pessoais sensíveis em snapshots são mascarados automaticamente antes do armazenamento.

4.6 Dados de saúde — ficha clínica (categoria especial)

Desde 2026-09-14, quando o Salão ativa o módulo de ficha clínica, o Akylen trata em seu nome dados relativos à saúde do cliente final — categoria especial na aceção do Art. 9.º/1 RGPD e dado sensível na aceção do Art. 5.º II LGPD. Vivem em campos dedicados, separados dos campos operacionais da Cláusula 4.2:

• Respostas de anamnese: o texto da pergunta e a resposta do titular — sim / não / não sei / prefiro não responder, texto livre (até 200 caracteres) ou escolha de opções (até 8). As perguntas cobrem, entre outros, gravidez, alergias, medicação em curso e antecedentes relevantes para o procedimento. Uma resposta pode ficar registada como não respondida, e essa ausência é ela própria conservada.
• Notas de evolução por atendimento (até 500 caracteres), em registo imutável: corrigir é escrever nota nova ligada à anterior, que permanece como foi escrita.
• Fotografias do cliente (fase antes/depois, zona do corpo, data da sessão) — recolhidas apenas quando o consentimento C1 tem o item de fotografias expressamente ativado. Esse item nasce desativado.
• Documentos carregados pelo Salão (PDF, DOCX, XLSX, PPTX; máximo 10 MiB por ficheiro).
• Registo de consentimento: para cada consentimento — C1 (tratamento de dados de saúde) e C2 (procedimento, por família de procedimento) — conservam-se o texto integral assinado, a sua versão e o respetivo hash, o nome de quem assinou, se assinou o próprio titular ou o seu representante legal (e a relação), o canal (no estabelecimento ou por ligação enviada ao titular) e a data. O registo é imutável: revogar é escrever linha nova que aponta para a anterior — a revogação não apaga o registo do consentimento anterior.
• Imagem da assinatura, quando recolhida por traço desenhado.

Onde ficam. Nos mesmos servidores da União Europeia (Paris) da Cláusula 12.1. Os ficheiros (fotografias, documentos, assinaturas) ficam em armazenamento privado, sem qualquer acesso público, servidos apenas através de rota autenticada que verifica a autorização registo a registo.

Com que base. O módulo só opera havendo consentimento explícito do titular, recolhido pelo Salão através do produto e registado nos termos acima. O Salão mantém-se responsável pelo tratamento e por determinar a licitude da recolha no seu contexto de atividade.

Por quanto tempo. O prazo é configurável pelo Salão e o produto traz por omissão 5 anos após o último atendimento — escolha do Akylen, não prazo legal (a atividade de estética não tem prazo fixado por lei). ⚠️ Este prazo não está reconciliado com a janela de conservação de 6 meses das Cláusulas 6 e 13.3, escritas antes de existir ficha clínica; a reconciliação está identificada e não é resolvida por esta versão.

5. Categorias de titulares

• Clientes finais do Salão: pessoas singulares que recebem serviços do Salão e cujos dados são introduzidos no Akylen pelo próprio Salão.
• Equipa do Salão: proprietário, gestores, rececionistas e profissionais que utilizam diretamente o Akylen para operar o negócio.
• Representantes legais de clientes menores de idade (acrescentado em 2026-09-18): quando o titular é menor, o consentimento da Cláusula 4.6 é assinado pelo seu representante legal, e o Akylen conserva o nome desse representante e a relação com o menor (mãe, pai, tutor). É uma categoria distinta das duas anteriores — o representante não é cliente do Salão nem membro da equipa, e ainda assim os seus dados são tratados.

⚠️ Entre os clientes finais podem encontrar-se menores de idade. O produto deriva a menoridade da data de nascimento registada pelo Salão e, sem essa data, não permite assinar consentimento algum. Dos 16 aos 17 regista também a concordância do próprio menor, além da do representante legal.

6. Duração

Este Acordo vigora pelo período de subscrição do SaaS Akylen pelo Salão e permanece em vigor até à conclusão das operações de cessação previstas na Cláusula 13. Após a cessação da subscrição, o Salão dispõe de uma janela de exportação de 30 dias; os dados de clientes finais são conservados por um período máximo de 6 meses após a cessação (para permitir reativação e o encerramento ordenado da relação), findos os quais são eliminados ou anonimizados, salvo as exceções de conservação legal da Cláusula 13.4 (designadamente dados fiscais — 10 anos — e registos de auditoria — 24 meses).

7. Obrigações do operador (Akylen)

Em conformidade com o Art. 28 RGPD / Art. 39 LGPD, o Akylen compromete-se a:

7.1. Tratar os dados pessoais exclusivamente sob instrução documentada do Salão, salvo determinação legal aplicável. Em caso de obrigação legal, o Akylen informa o Salão dessa obrigação antes do tratamento, salvo proibição legal.

7.2. Garantir que as pessoas autorizadas a tratar os dados pessoais estão sujeitas a obrigação de confidencialidade ou a deveres legais adequados.

7.3. Implementar medidas técnicas e organizativas adequadas ao risco do tratamento — descritas na Cláusula 9.

7.4. Respeitar as condições para recorrer a subcontratantes ulteriores — ver Cláusula 8.

7.5. Prestar assistência ao Salão, na medida do possível, no cumprimento da obrigação de resposta a pedidos de exercício de direitos dos titulares — ver Cláusula 11.

7.6. Notificar o Salão de violações de dados sem demora injustificada após delas tomar conhecimento — ver Cláusula 10.

7.7. Apoiar o Salão no cumprimento das obrigações dos Art. 32 a 36 RGPD (segurança, notificação, avaliação de impacto, consulta prévia).

7.8. Devolver ou eliminar todos os dados pessoais ao fim da prestação de serviços, conforme escolha do Salão (Cláusula 13).

7.9. Disponibilizar ao Salão todas as informações necessárias para demonstrar o cumprimento das obrigações do Art. 28 RGPD e permitir e contribuir para auditorias (Cláusula 14).

8. Subcontratantes ulteriores autorizados

O Salão autoriza expressamente o Akylen a recorrer aos seguintes subcontratantes ulteriores para a prestação do serviço:

8.1. O Akylen mantém um contrato escrito com cada subcontratante ulterior que lhe impõe obrigações de proteção de dados equivalentes às do presente Acordo.

8.2. Alteração de subcontratantes: o Akylen informa o Salão por escrito com pelo menos 30 dias de antecedência da intenção de adicionar ou substituir um subcontratante ulterior. O Salão pode opor-se, caso em que as partes negociam de boa-fé uma solução. Se não houver acordo, o Salão pode rescindir o contrato sem penalização.

9. Medidas de segurança

O Akylen implementa as seguintes medidas técnicas e organizativas (Art. 32 RGPD):

9.1 Controlo de acesso

• Autenticação obrigatória para todos os utilizadores do produto.
• Controlo de acesso baseado em papéis (RBAC) com 4 perfis distintos.
• Autenticação em dois passos (MFA via TOTP) obrigatória para administradores globais do produto; fortemente recomendada para proprietários de salão; opcional para outros perfis.

9.2 Isolamento entre tenants

• Cada salão é um tenant isolado. As consultas à base de dados aplicam Row-Level Security (RLS) ao nível da base de dados, garantindo que um salão NUNCA acede a dados de outro salão.
• O isolamento é aplicado na camada de dados, não apenas na interface.

9.3 Criptografia

• Em trânsito: TLS 1.2+ em todas as comunicações (HTTPS, conexões à base de dados, chamadas a APIs de subcontratantes).
• Em repouso: os dados na base de dados Supabase são encriptados em repouso pela própria infraestrutura Supabase.
• Cookies de sessão são HttpOnly (inacessíveis a scripts) e Secure.

9.4 Registos de auditoria

• Eventos sensíveis (início de sessão, alteração de configuração, modificações em clientes, envios de SMS, exportações) são registados num registo de auditoria centralizado.
• Snapshots de auditoria têm campos sensíveis (passwords, tokens, NIF, telefone, email) mascarados automaticamente antes do armazenamento.

9.5 Proteção contra ameaças aplicacionais

• Content-Security-Policy ativa com nonces dinâmicos.
• Headers de segurança (HSTS, X-Frame-Options, etc.) em todas as respostas.
• Validação de input em todas as fronteiras (route handlers, server actions, webhooks).

9.6 Atualizações e correções

• Dependências do produto são monitorizadas via Dependabot e atualizadas proactivamente. Vulnerabilidades críticas são corrigidas com prioridade alta.

10. Notificação de violações de dados

10.1. O Akylen notifica o Salão de qualquer violação de dados pessoais sem demora injustificada após dela tomar conhecimento, preferencialmente no prazo máximo de 72 horas, para auxiliar o Salão a cumprir a obrigação de notificação à autoridade de controlo (Art. 33 RGPD).

10.2. A notificação inclui, na medida do possível:

• Descrição da natureza da violação, categorias e número aproximado de titulares afetados, categorias e número aproximado de registos afetados.
• Nome e contacto do ponto de contacto do Akylen para obter mais informações.
• Descrição das consequências prováveis da violação.
• Descrição das medidas adotadas ou propostas pelo Akylen para mitigar a violação.

10.3. O Salão é o responsável por avaliar a obrigação de notificar a autoridade de controlo competente (CNPD em PT; ANPD no BR) e os titulares afetados.

11. Direitos dos titulares dos dados

11.1. O Salão é responsável por receber e dar resposta a pedidos de exercício de direitos dos titulares (Art. 12-22 RGPD; Art. 18 LGPD).

11.2. O Akylen disponibiliza ao Salão, através do produto, ferramentas para atender a esses pedidos:

• Direito de acesso e portabilidade: endpoint dedicado de exportação consolidada em JSON (formato machine-readable) acessível em /clients/[id]/lgpd-export que devolve todos os dados associados ao titular (perfil, marcações, registos de SMS, registos de auditoria).
• Direito de retificação: edição direta dos dados do cliente através da interface operacional.
• Direito de eliminação / anonimização: ação dedicada em /clients/[id] que substitui os campos pessoais por sentinelas (preservando a integridade do histórico de marcações para fins estatísticos e operacionais legítimos do Salão).
• Direito de oposição e limitação: o Salão pode arquivar o cliente (impedindo novas operações) e/ou anonimizar.

11.3. O Akylen presta assistência técnica ao Salão para questões sobre o funcionamento dessas ferramentas.

12. Transferências internacionais

12.1. A base de dados principal (Supabase) e o processamento aplicacional ocorrem na União Europeia (Supabase em Paris, eu-west-3, após a migração de 2026-06-08; analítica de produto em PostHog EU, Frankfurt). Não há, em regra, transferência dos dados em repouso para fora do EEE.

12.2. Alguns subcontratantes ulteriores (ver Cláusula 8) operam, total ou parcialmente, fora do Espaço Económico Europeu (EUA) — designadamente Vercel, Cloudflare, Resend, Stripe e Twilio; e, no que respeita a eventual acesso de suporte, as próprias entidades Supabase Inc. e PostHog Inc. Para essas transferências, o Akylen apoia-se, como mecanismo primário, no Data Privacy Framework UE-EUA (DPF) — ao qual estes fornecedores se encontram certificados — e, subsidiariamente e como salvaguarda, nas Cláusulas Contratuais-Tipo (SCCs) aprovadas pela Comissão Europeia ao abrigo do Art. 46(2)(c) RGPD, complementadas por avaliação de impacto da transferência (TIA) quando adequado.

12.3. O Akylen mantém ambos os mecanismos ativos (DPF + SCCs) por forma a assegurar a continuidade da licitude das transferências caso o DPF venha a ser invalidado (mitigação do risco "Schrems III"). As SCCs aplicáveis são as do módulo aplicável (responsável-processador ou processador- subprocessador) consoante a relação com cada subcontratante ulterior.

13. Devolução ou eliminação dos dados

13.1. Durante a vigência do Acordo, o Salão pode, a qualquer momento, exportar os dados de clientes individuais através do endpoint LGPD-export (Cláusula 11.2) ou os CSVs operacionais disponíveis no produto.

13.2. Ao terminar o Acordo, o Salão tem uma janela de exportação de 30 dias para:

• exportar os dados que pretenda conservar via funcionalidades existentes no produto;
• comunicar ao Akylen, por escrito, se prefere devolução adicional dos dados (formato a definir caso a caso) ou eliminação imediata.

13.3. Retenção e eliminação. Salvo pedido de eliminação imediata, os dados de clientes finais do Salão são conservados por um período máximo de 6 meses após a cessação, findo o qual são eliminados ou anonimizados.

13.4. Exceções de conservação legal. Conservam-se por períodos distintos, quando exigido por lei ou por necessidade de prova:

• Dados de faturação e fiscais: 10 anos (imposição da legislação fiscal portuguesa).
• Registos de auditoria e tabelas de sistema: 24 meses.
• Outros logs operacionais com relevância probatória podem ser conservados pelo período estritamente necessário, comunicando o Akylen o fundamento legal ao Salão.

14. Auditoria

14.1. O Salão tem direito a auditar o cumprimento deste Acordo pelo Akylen uma vez por ano civil, mediante aviso prévio escrito de pelo menos 30 dias e em horário acordado entre as partes, de modo a não perturbar a operação normal.

14.2. A auditoria pode ser realizada pelo Salão ou por terceiro auditor mandatado, sujeito a acordo de confidencialidade.

14.3. Os custos de auditoria são suportados pelo Salão, salvo se a auditoria identificar incumprimento material por parte do Akylen, caso em que os custos passam a ser suportados pelo Akylen.

14.4. Auditorias adicionais apenas em caso de violação confirmada de dados ou determinação da autoridade de controlo.

15. Lei aplicável e foro

15.1. O presente Acordo é regido pela lei portuguesa.

15.2. Em caso de litígio relacionado com a interpretação ou execução deste Acordo, as partes comprometem-se a tentar resolução amigável antes de recurso aos tribunais.

15.3. Foro competente: Comarca de Lisboa (à qual pertence a sede do Akylen, na Amadora), com renúncia expressa a qualquer outro.

16. Assinaturas

Anexos (parte integrante deste Acordo):

• Anexo I — Lista de subcontratantes ulteriores autorizados, com função, localização, base de transferência e ligações aos DPAs/SCCs/DPF: docs/legal/anexos-dpa/anexo-i-subprocessadores.md.
• Anexo II — Procedimento de resposta a violações de dados (deteção, contenção, notificação, escalonamento e modelo de comunicação): docs/legal/anexos-dpa/anexo-ii-procedimento-violacao.md.
• Anexo III — Cláusulas Contratuais-Tipo (SCCs): instrumento, módulo aplicável por relação e salvaguarda combinada DPF + SCCs: docs/legal/anexos-dpa/anexo-iii-sccs.md.

As Avaliações de Impacto da Transferência (TIA) para os subcontratantes nos EUA (Twilio, Stripe, Vercel, Cloudflare, Resend) constam em docs/legal/tia/ (EDPB Recommendations 01/2020), suportando a Cláusula 12.2.

Documento canónico em docs/legal/dpa-akylen-salon-pt-PT.md do repositório Akylen. Para a versão em vigor, consultar sempre o repositório oficial. Não constitui aconselhamento jurídico — sujeito a revisão por jurista antes de uso contratual real.