Acordo de tratamento de dados pessoais¶

Versão 1.0 — em vigor desde 20 de agosto de 2026

1. As partes¶

O presente Acordo é celebrado entre:

O Cliente, a pessoa singular ou coletiva que subscreve uma assinatura do serviço Wably, adiante Responsável pelo tratamento.

Marco Santucci, NIF Y0814119W, com sede em Calle Agustina de Aragón 92, Barcelona, Espanha, que opera sob o nome comercial Wably, adiante Subcontratante.

2. Objeto e aceitação¶

O presente Acordo regula o tratamento de dados pessoais que o Subcontratante realiza por conta do Responsável no âmbito da prestação do serviço Wably, nos termos do art. 28.º do Regulamento (UE) 2016/679 (adiante RGPD).

Constitui parte integrante dos Termos de Serviço e é aceite pelo Responsável em forma eletrónica no momento do registo no serviço. A aceitação é registada pelo Subcontratante com indicação da data, da hora e da versão do Acordo aceite.

Em caso de contradição entre o presente Acordo e os Termos de Serviço em matéria de proteção de dados, prevalece o presente Acordo.

3. Papéis das partes¶

O Responsável determina as finalidades e os meios do tratamento dos dados dos seus clientes ou pacientes. É responsável pela licitude da recolha, pela informação aos titulares e, quando necessário, pela recolha do consentimento.

O Subcontratante trata os dados pessoais exclusivamente por conta do Responsável e segundo as suas instruções documentadas, tal como definidas pelo presente Acordo, pelos Termos de Serviço e pela configuração do serviço efetuada pelo Responsável.

O Subcontratante não determina de forma alguma as finalidades do tratamento e não utiliza os dados do Responsável para finalidades próprias.

4. Objeto, duração, natureza e finalidade do tratamento¶

Objeto. Gestão automatizada das comunicações com os clientes do Responsável através do WhatsApp Business e gestão das respetivas marcações.

Duração. Durante toda a vigência da relação contratual, além dos prazos de conservação indicados na secção 11.

Natureza. Recolha, registo, organização, conservação, consulta, utilização, comunicação por transmissão, apagamento.

Finalidades.

• Receção e resposta automatizada às mensagens dos clientes do Responsável
• Verificação da disponibilidade e registo, alteração ou cancelamento de marcações
• Envio de lembretes, resumos e pedidos de avaliação segundo a configuração escolhida pelo Responsável
• Reconhecimento dos contactos e gestão da lista de contactos do Responsável

5. Categorias de titulares e de dados¶

Categorias de titulares: clientes ou pacientes do Responsável; pessoal do Responsável autorizado a utilizar o serviço.

Categorias de dados pessoais tratados:

5.1 Categorias especiais de dados (art. 9.º do RGPD)¶

O serviço não foi concebido nem se destina ao tratamento de categorias especiais de dados pessoais. O Subcontratante não solicita, não estrutura e não conserva nos seus arquivos dados relativos à saúde.

O Responsável toma conhecimento e compromete-se ao seguinte:

a) a não introduzir categorias especiais de dados pessoais nos campos de preenchimento livre do serviço, incluindo a descrição da atividade, a lista de serviços, as perguntas frequentes, as informações gerais e as notas dos contactos;

b) que esses campos se destinam exclusivamente a informações relativas à organização da atividade, tais como a denominação das prestações oferecidas, os preços, as durações, os horários e as modalidades de acesso;

c) que, caso um titular indique espontaneamente o motivo da marcação, essa informação é transmitida pelo Subcontratante exclusivamente para o calendário eletrónico do Responsável, sob o controlo direto deste último, e não é conservada nos arquivos do Subcontratante;

d) que, nessa eventualidade, a base jurídica nos termos do art. 9.º do RGPD cabe ao Responsável em razão da sua própria atividade profissional.

6. Instruções do Responsável¶

O Subcontratante trata os dados pessoais exclusivamente com base em instruções documentadas do Responsável, constituídas pelo presente Acordo, pelos Termos de Serviço e pelas opções de configuração efetuadas pelo Responsável no painel de gestão.

O Subcontratante informa imediatamente o Responsável caso considere que uma instrução viola o RGPD ou outras disposições aplicáveis em matéria de proteção de dados.

O Subcontratante não transfere, não vende nem disponibiliza a terceiros os dados do Responsável para finalidades de marketing, definição de perfis ou treino de modelos de inteligência artificial.

7. Confidencialidade¶

O Subcontratante garante que as pessoas autorizadas a tratar os dados pessoais assumiram um compromisso de confidencialidade ou estão sujeitas a uma obrigação legal adequada de confidencialidade.

O acesso aos dados do Responsável por parte do pessoal do Subcontratante está limitado ao estritamente necessário para a prestação do serviço, para a manutenção técnica e para a assistência solicitada pelo Responsável.

8. Medidas de segurança (art. 32.º)¶

O Subcontratante adota medidas técnicas e organizativas adequadas, entre as quais:

• Cifragem em trânsito de todas as comunicações através de protocolos TLS
• Cifragem das credenciais de acesso aos serviços ligados com algoritmo AES-256, conservadas em forma cifrada e nunca em texto simples
• Isolamento lógico dos dados de cada Responsável, com separação aplicacional que impede o acesso cruzado
• Autenticação dos utilizadores através de um sistema dedicado de gestão de identidades conforme com a norma OpenID Connect
• Infraestrutura alojada junto de um fornecedor cloud de nível empresarial com centros de dados situados na União Europeia
• Conservação limitada do conteúdo conversacional à mera duração técnica da sessão
• Cópias de segurança automáticas da base de dados e cópias ao nível da infraestrutura, guardadas de forma protegida

9. Subcontratantes¶

O Responsável autoriza o Subcontratante a recorrer aos subcontratantes indicados a seguir, cada um para a função indicada.

O Subcontratante informa o Responsável de eventuais alterações relativas à adição ou substituição de subcontratantes com um pré-aviso de trinta dias, dentro dos quais o Responsável pode opor-se por motivos razoáveis e, em caso de falta de acordo, resolver o contrato sem penalizações.

O Subcontratante impõe a cada subcontratante obrigações de proteção de dados equivalentes às do presente Acordo e responde pela sua atuação.

Processamento através de modelo de linguagem. O conteúdo das mensagens é transmitido ao serviço de inteligência artificial do fornecedor de infraestrutura com o único fim de gerar a resposta. Os dados não são utilizados para o treino de modelos e não são conservados pelo fornecedor para além do tempo necessário ao processamento.

10. Transferências para fora da UE¶

Sempre que um subcontratante efetue tratamentos fora do Espaço Económico Europeu, a transferência assenta num dos mecanismos previstos no Capítulo V do RGPD, tais como uma decisão de adequação da Comissão Europeia ou cláusulas contratuais-tipo, juntamente com as medidas suplementares eventualmente necessárias.

11. Conservação e eliminação¶

Os dados são conservados durante a vigência da relação contratual.

O conteúdo das conversas é conservado apenas durante a duração técnica da sessão e é eliminado automaticamente no final da mesma.

Na cessação da relação, o Subcontratante procede, à escolha do Responsável, à devolução dos dados em formato estruturado ou à sua eliminação, no prazo de trinta dias a contar do pedido, salvo obrigações de conservação previstas na lei. A eliminação da conta implica a desativação das integrações e a revogação das autorizações concedidas aos serviços ligados.

As marcações registadas no calendário do Responsável e os contactos presentes na sua lista permanecem na disponibilidade exclusiva do Responsável e não são afetados pela eliminação.

12. Assistência ao Responsável¶

O Subcontratante assiste o Responsável, tendo em conta a natureza do tratamento e através de medidas técnicas e organizativas adequadas, em:

a) dar seguimento aos pedidos dos titulares relativos ao exercício dos direitos previstos nos arts. 15.º a 22.º do RGPD;

b) garantir o cumprimento das obrigações de segurança, notificação de violações e avaliação de impacto previstas nos arts. 32.º a 36.º do RGPD.

Os pedidos são dirigidos a [email protected] e são respondidos no prazo de trinta dias.

Caso o Subcontratante receba diretamente um pedido de um titular, informa disso o Responsável sem demora e não lhe dá seguimento de forma autónoma, salvo instrução em contrário.

13. Violações de dados pessoais¶

O Subcontratante notifica o Responsável de qualquer violação de dados pessoais de que tenha conhecimento sem demora injustificada e, em qualquer caso, no prazo de quarenta e oito horas, fornecendo as informações necessárias para que o Responsável possa cumprir as suas obrigações de notificação nos termos dos arts. 33.º e 34.º do RGPD.

A notificação inclui, na medida do disponível: a natureza da violação, as categorias e o número aproximado de titulares e de registos envolvidos, as prováveis consequências e as medidas adotadas ou propostas.

14. Auditoria¶

O Subcontratante disponibiliza ao Responsável as informações necessárias para demonstrar o cumprimento das obrigações do presente Acordo.

O Responsável pode solicitar uma verificação, com um pré-aviso de trinta dias, não mais do que uma vez por ano, salvo no caso de uma violação comprovada. A verificação decorre de modo a não prejudicar a continuidade do serviço e no respeito pela confidencialidade dos restantes clientes do Subcontratante.

15. Responsabilidade e lei aplicável¶

Cada parte responde pelos danos resultantes do incumprimento das obrigações que o RGPD lhe atribui diretamente.

O presente Acordo é regido pela lei espanhola. Qualquer litígio fica sujeito à jurisdição exclusiva dos Tribunais de Barcelona, Espanha, em coerência com os Termos de Serviço.

16. Alterações¶

O Subcontratante pode atualizar o presente Acordo para o adaptar a alterações normativas ou à evolução do serviço, comunicando-o ao Responsável com trinta dias de pré-aviso.

Cada versão é identificada por um número e por uma data de entrada em vigor. O Responsável que não aceite a nova versão pode resolver o contrato sem penalizações dentro do prazo de pré-aviso.

Wably — Acordo de tratamento de dados pessoais — Versão 1.0

Contactos: [email protected] · [email protected]