Acordo de tratamento de dados
Última atualização: 26 de outubro de 2026
A empresa que comercializa o WayOne está a ser constituída. A firma, o NIPC e a morada são publicados aqui antes do início da comercialização.
Este acordo faz parte dos Termos de utilização e aceita-se ao criar a conta do estúdio. Cumpre o artigo 28.º, n.º 3, do Regulamento Geral sobre a Proteção de Dados (RGPD). Partes: o estúdio, responsável pelo tratamento, e WayOne («a WayOne»), subcontratante.
1. Objeto e duração
A WayOne trata dados pessoais por conta do estúdio apenas para lhe prestar o serviço WayOne (gestão de agenda, clientes, pagamentos, equipa, área de cliente e notificações). O acordo vigora enquanto a conta do estúdio existir e termina quando os dados forem apagados (ponto 10).
2. Dados e titulares
- Titulares: clientes do estúdio (e os seus representantes, quando menores), equipa, contabilistas e outras pessoas que o estúdio convide.
- Dados: identificação e contactos (nome, telefone, email, NIF, morada, data de nascimento), plano, horários, presenças, reposições, pagamentos e faturação, mensagens e notificações, registos de acesso; e os documentos assinados.
- Dados de saúde (categoria especial, art. 9.º do RGPD): avaliação, ficha clínica, dor e evolução, que o estúdio regista. Só são visíveis à equipa a quem o estúdio dá essa permissão; o apoio da WayOne nunca os vê.
3. Instruções do estúdio
A WayOne trata os dados apenas segundo as instruções documentadas do estúdio: estes termos, as definições que o estúdio escolhe no WayOne e os pedidos escritos que faça. Não usa os dados para fins próprios, não os vende nem os usa para publicidade. Se uma instrução lhe parecer contrária à lei, avisa o estúdio. Se a lei obrigar a WayOne a tratar dados de outra forma, informa o estúdio antes, salvo se a lei o proibir.
4. Confidencialidade
As pessoas que trabalham para a WayOne e podem aceder aos dados estão obrigadas a sigilo e só lhes acedem quando é necessário para o serviço.
5. Segurança
A WayOne aplica medidas técnicas e organizativas adequadas (art. 32.º do RGPD), entre as quais:
- ligações cifradas (HTTPS) e palavras-passe guardadas cifradas;
- separação de dados por empresa e por estúdio na base de dados, com regras de acesso para cada função e permissão própria para os dados de saúde;
- base de dados na União Europeia, cifrada no disco (AES-256) pelo fornecedor, e cópia de segurança diária cifrada (AES-256), guardada 30 dias; as chaves de ligação à faturação ficam num cofre cifrado à parte (Supabase Vault) e o acesso ao painel da base de dados está limitado à equipa técnica da WayOne;
- registo das alterações importantes e dos erros, e revisão regular da segurança.
6. Subcontratantes ulteriores
O estúdio autoriza a WayOne a recorrer aos subcontratantes abaixo. A WayOne impõe-lhes obrigações de proteção de dados equivalentes às deste acordo e responde por eles. Antes de acrescentar ou substituir um subcontratante, avisa o estúdio com 30 dias de antecedência; se o estúdio se opuser por motivos razoáveis e não houver alternativa, pode cancelar sem custos. Os fornecedores de faturação certificada e de pagamentos da subscrição são acrescentados a esta lista antes de serem ativados.
| Quem | Para quê | Onde | Garantia |
|---|---|---|---|
| Supabase | Base de dados, contas de acesso e ficheiros (fotografias, documentos assinados). | Dados guardados na União Europeia (Irlanda). Empresa dos EUA. | Cláusulas contratuais-tipo da Comissão Europeia e Quadro de Proteção de Dados UE-EUA (Data Privacy Framework). |
| Vercel | Alojamento da aplicação e do site. | Servidores na União Europeia. Empresa dos EUA. | Cláusulas contratuais-tipo e Data Privacy Framework. |
| GitHub (Microsoft) | Cópia de segurança diária de toda a base de dados, cifrada (AES-256) antes de sair, guardada 30 dias. | EUA. | Cláusulas contratuais-tipo e Data Privacy Framework. A cópia está cifrada com uma chave que só a WayOne tem. |
| Hostinger | Caixas de email da WayOne e envio dos emails de conta (confirmar email, recuperar palavra-passe). | União Europeia (Lituânia). | Dentro da UE. |
| Apple, Google, Mozilla e Microsoft (serviços de notificações do telemóvel e do browser) | Entregam as notificações no telemóvel (recebem o texto do aviso e o endereço do aparelho). | EUA. | Data Privacy Framework e cláusulas contratuais-tipo de cada empresa. |
| Stripe | Pagamentos com cartão (subscrição e, se o estúdio os ligar, pagamentos online dos alunos). A WayOne não guarda dados de cartões. | Irlanda (Stripe Payments Europe). Grupo dos EUA. | Cláusulas contratuais-tipo e Data Privacy Framework. |
| Resend | Envio de emails automáticos (faturas e avisos por email), só quando estiver ligado. | EUA. | Cláusulas contratuais-tipo e Data Privacy Framework. |
7. Transferências para fora da UE
Os dados ficam guardados na União Europeia. Alguns subcontratantes são empresas dos EUA ou podem aceder a dados a partir de lá; nesses casos a transferência assenta no Quadro de Proteção de Dados UE-EUA (Data Privacy Framework) ou nas cláusulas contratuais-tipo da Comissão Europeia, como indicado na tabela.
8. Ajuda ao estúdio
A WayOne ajuda o estúdio a responder aos pedidos dos titulares (acesso, retificação, apagamento, limitação, portabilidade e oposição) — o WayOne permite consultar, corrigir, exportar e apagar os dados de cada cliente — e a cumprir as obrigações de segurança, de avaliação de impacto e de consulta prévia (art. 32.º a 36.º). Se um titular se dirigir à WayOne, encaminha o pedido para o estúdio.
9. Violações de dados
Se a WayOne tiver conhecimento de uma violação de dados pessoais que afete o estúdio, avisa-o sem demora injustificada e, sempre que possível, no prazo de 48 horas, com a informação de que disponha (o que aconteceu, dados e pessoas afetadas, consequências prováveis e medidas tomadas), para que o estúdio possa notificar a CNPD no prazo de 72 horas quando a lei o exija.
10. Fim do serviço: devolução e eliminação
O estúdio pode descarregar a qualquer momento uma cópia completa dos seus dados em Configurações. Ao fechar a conta, os dados ficam mais 30 dias e depois são apagados de vez, incluindo das cópias de segurança no prazo máximo de 30 dias seguintes, salvo o que a lei obrigue a conservar (por exemplo, faturas).
11. Demonstração do cumprimento
A WayOne disponibiliza ao estúdio a informação necessária para demonstrar o cumprimento deste acordo e colabora em auditorias razoáveis, com aviso prévio e sem acesso a dados de outros estúdios.
12. Contacto
Questões sobre este acordo e dados pessoais: privacidade@wayoneapp.com.