Acordo de Processamento de Dados (APD)

Última atualização: março de 2026

Este Acordo de Processamento de Dados ("APD") é parte integrante dos Termos de Serviço entre o proprietário do estúdio ("Responsável pelo Tratamento") e o StudioBook ("Subcontratante") e rege o tratamento de dados pessoais pelo Subcontratante em nome do Responsável pelo Tratamento, em conformidade com o Art. 28 do RGPD.

1. Âmbito e Partes

Este APD aplica-se entre:
- Responsável pelo Tratamento: O proprietário do estúdio que utiliza o StudioBook para gerir o seu estúdio, aulas e reservas de membros.
- Subcontratante: StudioBook, operado por Marcel Jurna, Am Glockenberg 52, 51515 Kürten, Alemanha. Contacto: hello@studiobook.app, +49 1525 3619145.

O Responsável pelo Tratamento determina as finalidades e os meios do tratamento de dados pessoais. O Subcontratante trata dados pessoais apenas em nome do Responsável pelo Tratamento e de acordo com as suas instruções documentadas.

2. Objeto e Duração

O Subcontratante disponibiliza uma plataforma de reservas e gestão de estúdio baseada na nuvem. No âmbito da prestação deste serviço, o Subcontratante trata dados pessoais em nome do Responsável pelo Tratamento.

Este APD é eficaz durante toda a duração do contrato de serviço entre o Responsável pelo Tratamento e o Subcontratante. Termina automaticamente quando o contrato de serviço termina e todos os dados pessoais foram eliminados ou devolvidos.

3. Tipos de Dados Pessoais Tratados

São tratadas as seguintes categorias de dados pessoais:
- Nomes dos membros/clientes
- Endereços de e-mail dos membros/clientes
- Histórico de reservas (aulas reservadas, cancelamentos, inscrições em lista de espera)
- Registos de presença
- Utilização de pacotes de créditos e planos de adesão
- Referências de pagamento (IDs de cliente/transação Stripe — sem números de cartão ou dados bancários)
- Método de criação de conta (e-mail, Google OAuth)

4. Categorias de Titulares dos Dados

• Membros e clientes do estúdio: pessoas que reservam aulas, adquirem créditos ou planos de adesão, ou que interagem de outra forma com a página de reservas do estúdio.
• Pessoal e instrutores do estúdio: pessoas atribuídas a aulas pelo Responsável pelo Tratamento.

5. Obrigações do Subcontratante

5.1 Tratamento segundo Instruções

O Subcontratante trata dados pessoais apenas com base em instruções documentadas do Responsável pelo Tratamento, incluindo no que respeita a transferências de dados pessoais para um país terceiro, salvo se for obrigado a fazê-lo pelo direito da União ou do Estado-Membro. Nesse caso, o Subcontratante informa o Responsável pelo Tratamento dessa obrigação legal antes do tratamento, a menos que a lei o proíba por motivos importantes de interesse público.

5.2 Confidencialidade

O Subcontratante assegura que as pessoas autorizadas a tratar dados pessoais se comprometeram a respeitar a confidencialidade ou estão sujeitas a uma obrigação legal de sigilo adequada.

5.3 Medidas de Segurança (Art. 32 RGPD)

O Subcontratante implementa medidas técnicas e organizativas adequadas para garantir um nível de segurança adequado ao risco. Estas medidas estão descritas em detalhe no Anexo (Medidas Técnicas e Organizativas) deste APD.

5.4 Subcontratantes Ulteriores

O Responsável pelo Tratamento concede ao Subcontratante autorização geral para contratar os subcontratantes ulteriores listados na Secção 6 deste APD. O Subcontratante informa o Responsável pelo Tratamento de quaisquer alterações previstas relativamente à adição ou substituição de subcontratantes ulteriores, dando ao Responsável pelo Tratamento a oportunidade de se opor a tais alterações no prazo de 14 dias. Se o Responsável pelo Tratamento se opuser com fundamentos razoáveis, as partes negociarão de boa-fé para encontrar uma solução. Caso não se encontre solução, o Responsável pelo Tratamento pode rescindir o contrato de serviço.

O Subcontratante impõe a qualquer subcontratante ulterior, por via contratual, as mesmas obrigações de proteção de dados estabelecidas neste APD. O Subcontratante permanece plenamente responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações do subcontratante ulterior.

5.5 Direitos dos Titulares dos Dados

O Subcontratante presta assistência ao Responsável pelo Tratamento através de medidas técnicas e organizativas adequadas, na medida do possível, para o cumprimento da obrigação do Responsável pelo Tratamento de dar resposta aos pedidos de exercício dos direitos dos titulares dos dados previstos no Capítulo III do RGPD (acesso, retificação, apagamento, limitação, portabilidade, oposição).

5.6 Notificação de Violações de Dados

O Subcontratante notifica o Responsável pelo Tratamento sem demora injustificada, e em qualquer caso no prazo de 24 horas, após tomar conhecimento de uma violação de dados pessoais. A notificação deve incluir:
- Uma descrição da natureza da violação de dados pessoais
- As categorias e o número aproximado de titulares dos dados e registos afetados
- As consequências prováveis da violação
- As medidas adotadas ou propostas para remediar a violação

5.7 Avaliação de Impacto sobre a Proteção de Dados

O Subcontratante presta assistência ao Responsável pelo Tratamento na realização de avaliações de impacto sobre a proteção de dados e nas consultas prévias às autoridades de controlo (Art. 35–36 RGPD), tendo em conta a natureza do tratamento e as informações ao dispor do Subcontratante.

5.8 Eliminação ou Devolução dos Dados

Após a cessação do contrato de serviço, o Subcontratante elimina ou devolve, à escolha do Responsável pelo Tratamento, todos os dados pessoais e elimina as cópias existentes, salvo se o direito da União ou do Estado-Membro exigir a conservação dos dados. Quando o Responsável pelo Tratamento elimina a sua conta, todos os dados pessoais são imediata e permanentemente removidos.

Os períodos de conservação estão detalhados na nossa Política de Privacidade.

5.9 Direitos de Auditoria

O Subcontratante disponibiliza ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no Art. 28 do RGPD e permite e contribui para auditorias, incluindo inspeções, realizadas pelo Responsável pelo Tratamento ou por outro auditor por este mandatado. O Subcontratante informa imediatamente o Responsável pelo Tratamento caso considere que uma instrução viola o RGPD ou outras disposições de proteção de dados da União ou dos Estados-Membros.

6. Subcontratantes Ulteriores

O Subcontratante utiliza os seguintes subcontratantes ulteriores:

7. Notificação de Violações de Dados

Em caso de violação de dados pessoais, o Subcontratante deve:
- Notificar o Responsável pelo Tratamento no prazo de 24 horas após tomar conhecimento da violação
- Fornecer todas as informações exigidas pelo Art. 33(3) do RGPD
- Cooperar com o Responsável pelo Tratamento na investigação e resolução da violação
- Auxiliar o Responsável pelo Tratamento no cumprimento das suas obrigações de notificação às autoridades de controlo e aos titulares dos dados

8. Transferências Internacionais de Dados

Quando os dados pessoais são transferidos para subcontratantes ulteriores fora do Espaço Económico Europeu (EEE):
- Cláusulas Contratuais-Tipo da UE (SCCs): estão em vigor com todos os subcontratantes ulteriores fora da UE
- Quadro de Privacidade de Dados UE-EUA: os subcontratantes ulteriores aplicáveis (Stripe, Resend, Google) estão certificados ao abrigo do Quadro de Privacidade de Dados UE-EUA
- O Subcontratante assegura que qualquer transferência cumpre o Capítulo V do RGPD

9. Medidas Técnicas e Organizativas (Anexo)

O Subcontratante implementa as seguintes medidas nos termos do Art. 32 do RGPD:

9.1 Controlo de Acesso

• Políticas de Row Level Security (RLS) em todas as tabelas da base de dados
• Isolamento multi-tenant por studio_id — cada estúdio só pode aceder aos seus próprios dados
• Controlo de acesso baseado em funções (proprietário do estúdio, instrutor, membro)
• Tokens de autenticação baseados em JWT com prazo de validade

9.2 Encriptação

• Em trânsito: Todos os dados transmitidos via TLS 1.2+ (apenas HTTPS)
• Em repouso: Encriptação AES-256 através da infraestrutura Supabase/AWS
• Sem armazenamento ou transmissão de dados não encriptados

9.3 Autenticação

• Hashing de palavras-passe com Bcrypt e salting
• OAuth 2.0 via Google
• Tokens JWT para gestão de sessões
• Fluxos seguros de reposição de palavra-passe via verificação por e-mail

9.4 Disponibilidade e Resiliência

• Backups geridos da base de dados via Supabase
• Capacidade de recuperação point-in-time
• Alojado em infraestrutura AWS na UE com redundância

9.5 Separação de Dados

• Arquitetura multi-tenant lógica com isolamento estrito por studio_id
• Os dados de cada estúdio estão logicamente isolados dos de outros estúdios
• Nenhum acesso a dados entre estúdios é possível através da camada de aplicação

9.6 Controlo de Entrada

• Registo de auditoria através da tabela notification_logs
• Todos os eventos de reserva, cancelamento e pagamento são registados com carimbos temporais
• Registos de entrega de e-mail transacional

9.7 Controlo de Transferência

• Comunicação exclusivamente por HTTPS (sem fallback HTTP)
• Restrições CORS limitando o acesso à API a origens autorizadas
• Autenticação de API obrigatória para todos os endpoints de dados

10. Responsabilidade

O Subcontratante é responsável por danos causados por tratamento que não cumpra este APD ou as obrigações do RGPD especificamente dirigidas a subcontratantes. O Subcontratante permanece responsável se um subcontratante ulterior não cumprir as suas obrigações de proteção de dados.

11. Vigência e Cessação

Este APD é eficaz durante toda a duração do contrato de serviço entre o Responsável pelo Tratamento e o Subcontratante. Não pode ser rescindido separadamente do contrato de serviço. Após a cessação, as obrigações relativas à eliminação/devolução de dados (Secção 5.8) e confidencialidade (Secção 5.2) mantêm-se em vigor.

12. Lei Aplicável e Jurisdição

Este APD é regido pelas leis da República Federal da Alemanha. Para comerciantes, o foro exclusivo é Colónia, Alemanha. Para consumidores, aplicam-se as regras legais sobre jurisdição.

13. Contacto

Para questões relativas a este APD ou a matérias de proteção de dados:

Marcel Jurna
Am Glockenberg 52, 51515 Kürten, Alemanha
E-Mail: hello@studiobook.app
Telefone: +49 1525 3619145