Versão 2026-10-27-ltd-health-professional-v4 · adotada pelo prestador em . A decisão de publicação é do prestador e não constitui certificação por uma autoridade ou parecer profissional independente.
MINOVATE TECHNOLOGY LTD · Company number 17469954 · Registered office: 71-75 Shelton Street, Covent Garden, London, United Kingdom, WC2H 9JQ · Registada em England and Wales.
1. Papéis e objeto
O cliente é responsável pelo tratamento dos dados pessoais que introduz na sua área de trabalho. A A Tua Gestão atua como subcontratante exclusivamente para alojar, organizar, transmitir, proteger, apoiar e eliminar esses dados conforme o contrato e as instruções documentadas do cliente.
2. Duração, natureza e titulares
O tratamento acompanha a prestação do serviço e a fase contratada de exportação/eliminação. Abrange recolha, registo, organização, consulta, alteração, transmissão autorizada, conservação, exportação e apagamento de dados de identificação, contacto, marcações, serviços, pagamentos, comunicações e notas operacionais de clientes, potenciais clientes, colaboradores e fornecedores do cliente.
O âmbito inclui anamnese, alergias, medicação, notas de saúde, fotografias e planos de tratamento em espaços de estética e laser. O espaço continua responsável por determinar as finalidades e os fundamentos dos artigos 6.º e 9.º do RGPD. O fluxo de saúde deste lançamento utiliza consentimento explícito, artigos 6.º(1)(a) e 9.º(2)(a), distinto do consentimento fiscal, marketing e autorização do procedimento; não se presume a exceção aplicável a cuidados de saúde.
3. Instruções e legalidade
A A Tua Gestão trata os dados apenas segundo instruções documentadas, incluindo as funcionalidades configuradas pelo cliente, salvo obrigação legal aplicável. Nesse caso informará previamente o cliente, a menos que a lei o proíba por razões relevantes de interesse público. Informará também se entender que uma instrução viola a legislação de proteção de dados. O cliente assegura transparência, fundamento de licitude, minimização, exatidão e respeito pelos direitos dos titulares.
4. Confidencialidade e segurança
O acesso é limitado a pessoas sujeitas a dever de confidencialidade. As medidas incluem autenticação e autorização por função, segregação dos espaços e bases dedicadas, ligações HTTPS, proteção de segredos, registos de operações administrativas, verificação de webhooks assinados e idempotência, gestão de vulnerabilidades e resposta a incidentes. O acesso de suporte exige uma finalidade autorizada e não constitui impersonação do proprietário.
O consentimento regista titular, finalidade, texto integral e versão, data/hora UTC, quem recolheu e prova do ato afirmativo. A retirada impede novos tratamentos dependentes desse consentimento; não são criados consentimentos retroativos para registos existentes. Administradores do espaço gerem autorizações; profissionais acedem apenas a clientes atribuídos e autorizados. Receção e gestão não recebem acesso à saúde por defeito. MFA pode ser ativado como proteção adicional; não é obrigatório no lançamento inicial. Fotografias são guardadas na base Neon dedicada do espaço e disponibilizadas apenas por acesso autenticado e autorizado; ligações de assinatura não dispensam autenticação e autorização. Os acessos, alterações, downloads, exportações e eliminações são auditados sem copiar conteúdo de saúde para logs.
É proibido enviar dados de saúde, anexos, fotografias, nomes de tratamentos ou texto livre sensível para IA, WhatsApp, email e telemetria. As comunicações operacionais usam apenas campos permitidos e mensagens genéricas. A Minovate não usa dados do espaço para publicidade, perfis ou treino de modelos.
5. Subcontratantes ulteriores
O cliente concede autorização geral para os subcontratantes identificados no inventário, limitada às finalidades contratadas. Uma adição ou substituição será comunicada antes de iniciar o novo tratamento, com 30 dias para objeção fundamentada. As partes procurarão uma solução; se não existir alternativa adequada, o cliente pode cessar o serviço afetado antes da alteração. Uma instrução urgente de segurança ou legal será comunicada logo que possível. O prestador impõe obrigações equivalentes e continua responsável perante o cliente pelo subcontratante ulterior.
Inventário de fornecedores da operação
| Serviço | Entidade e localização/transferências | Finalidade | Dados | Contrato de tratamento |
|---|---|---|---|---|
| Clerk | Clerk, Inc. Serviço internacional; DPF quando aplicável e cláusulas contratuais-tipo como salvaguarda. | Identidades, sessões e organizações | Identificação e contacto dos utilizadores; dados de autenticação | DPA de Clerk |
| Vercel | Vercel, Inc. A verificação de backups está configurada para Sandbox em Frankfurt; outros serviços, suporte e subprocessadores dependem da conta e das salvaguardas aplicáveis. | Alojamento, execução, registos técnicos e verificação de backups e restauros | Pedidos à aplicação e dados processados pelo runtime, incluindo dados dos espaços e de saúde autorizados em cópias temporárias durante a verificação de backups e restauros | DPA de Vercel |
| Neon | Databricks, Inc. / Neon, LLC Base dedicada em Londres (aws-eu-west-2); termos atuais incorporam o contrato Databricks. Suporte e subprocessadores podem operar noutras regiões. | Bases de dados dedicadas e recuperação | Dados do espaço, incluindo os dados de saúde autorizados | DPA de Neon |
| Resend | Plus Five Five, Inc. Serviço internacional; DPF quando aplicável e cláusulas contratuais-tipo. | Envio de comunicações transacionais | Destinatário, mensagem operacional genérica e estado; sem dados de saúde | DPA de Resend |
| Cloudflare | Cloudflare, Inc. Os backups usam R2 na jurisdição UE; outros serviços, suporte e subprocessadores podem operar internacionalmente, com as salvaguardas aplicáveis do DPA. | DNS, serviços de rede e armazenamento privado de backups cifrados | Domínios, metadados técnicos e cópias cifradas das bases dos espaços, que podem incluir dados de saúde autorizados | DPA de Cloudflare |
Stripe trata pagamentos e documentos da relação comercial; Starling e Xero tratam banca e contabilidade da Minovate. Não lhes enviamos uma cópia da base interna do espaço para essas finalidades. Os papéis próprios de cada fornecedor são os definidos no respetivo contrato.
Este inventário não declara que todos os dados ficam na UE ou no Reino Unido. As regiões, acessos de suporte e mecanismos de transferência dependem do serviço e da conta contratados. Informação adicional pode ser solicitada ao contacto de privacidade. A existência de um DPA público não comprova a sua aceitação nem a cobertura de qualquer plano: o prestador é responsável por manter os contratos e salvaguardas aplicáveis à operação.
6. Transferências internacionais
O tratamento sujeito ao RGPD da UE e ao UK GDPR exige avaliar separadamente as transferências relevantes para cada regime. Serão identificadas decisões de adequação ou salvaguardas contratuais aplicáveis, como cláusulas contratuais-tipo da UE e UK Addendum/IDTA, com avaliações de risco e medidas suplementares quando necessárias. A constituição de uma LTD não valida por si só transferências ou contratos de fornecedores.
7. Direitos, avaliações e autoridades
Tendo em conta a natureza do tratamento, a A Tua Gestão ajudará o cliente a responder a pedidos de titulares e a cumprir obrigações de segurança, notificação, avaliação de impacto e consulta prévia. Pedidos recebidos diretamente serão encaminhados ao cliente, salvo impedimento legal.
8. Violação de dados
Uma violação de dados pessoais será comunicada ao cliente sem demora injustificada após tomar conhecimento, sem esperar pela conclusão da investigação. A informação disponível incluirá natureza, categorias e dimensão conhecida, contacto, consequências prováveis e medidas tomadas/propostas, com atualizações progressivas. O prestador ajudará o cliente a avaliar as suas obrigações de notificação.
9. Devolução, eliminação e auditoria
No fim do serviço, os dados são devolvidos ou eliminados segundo a escolha do cliente, incluindo cópias, exceto conservação exigida por lei. Durante o contrato, o titular pode exportar e pedir eliminação na sua área autenticada, abrangendo fichas, versões, fotografias e planos. Ficheiros legados exigem migração ou revisão para impedir uma eliminação incompleta. Após cessação, o proprietário dispõe de 30 dias para solicitar exportação assistida através do contacto autorizado; a eliminação operacional deve terminar até ao dia 60 e os backups expirar até 90 dias, salvo obrigação legal documentada. Documentos fiscais seguem conservação própria, sem justificar a conservação geral de dados de saúde.
Dados do espaço após cancelamento
Enquanto a subscrição está em vigor, os dados do espaço são tratados para prestar o serviço. Após o cancelamento efetivo, o acesso é desativado e o prazo normal de conservação operacional é de 60 dias. Durante os primeiros 30 dias após a cessação, o proprietário pode solicitar devolução ou exportação assistida através de admin@atuagestao.com; isto não equivale a manter acesso interativo ao espaço cancelado.
No fim do prazo, o processo de eliminação verifica novamente o cancelamento e eventual obrigação de conservação, desativa os recursos e elimina a base dedicada. Falhas são acompanhadas e repetidas; uma obrigação legal de conservação pode suspender a eliminação. Registos próprios de faturação, aceitações e auditoria não são eliminados por esse processo e seguem as suas finalidades legais.
O limite da política para backups é de 90 dias após a cessação. A janela de recuperação atualmente verificada no projeto Neon do espaço é de sete dias. Esta janela não representa uma garantia sobre todas as cópias internas do fornecedor. Backups não são reutilizados para operação normal; numa recuperação de desastre, as instruções de eliminação são reaplicadas.
O prestador disponibiliza informações e permite auditorias pelo cliente ou auditor mandatado. Privilegiam-se documentação e questionários; inspeções são acordadas com antecedência razoável e salvaguardas de confidencialidade, sem restringir exigências legais ou de autoridades.
10. Prevalência e contactos
Em conflito sobre tratamento por conta do cliente, este Anexo prevalece sobre os Termos gerais. O prestador é a sociedade identificada acima; o cliente é o profissional ou entidade identificados na subscrição. Instruções e pedidos devem ser enviados por um contacto autorizado para admin@atuagestao.com.
Contacto de privacidade: admin@atuagestao.com. Este contacto não constitui nomeação de DPO. A obrigação de DPO e de AIPD é avaliada para o tratamento efetivo, antes do lançamento e quando haja alterações relevantes; a revisão aos dez espaços pagantes ou seis meses não constitui uma dispensa legal.
Referências da revisão
RGPD, artigos 28.º e 32.º a 36.º; orientação do ICO sobre contratos com subcontratantes; transferências internacionais UK. Rever também as alterações UK em vigor na data da aprovação.