Acordo de Processamento de Dados (APD)

Última atualização: setembro de 2026 — versão 2026-09-studio.1. Alteração: o § 3 acrescenta os perfis de crianças (contas de família) — nome próprio, apelido e uma data de nascimento facultativa de uma criança que um membro adiciona à sua própria conta para a inscrever em aulas; o § 4 alarga em conformidade a categoria «Menores». Não é criada qualquer conta para a criança, e um perfil de criança só é visível para o Responsável pelo Tratamento onde essa criança tenha uma marcação junto dele. Acrescentar uma categoria de dados pessoais é uma alteração substantiva; não altera prazos de conservação, medidas técnicas e organizativas, subcontratantes ou a repartição de responsabilidade.

Versão anterior 2026-09-studio: o § 3 acrescentou a morada postal do membro (recolhida quando um membro adere a um plano com um período mínimo superior a um mês) e, como campo facultativo na página de conta do próprio membro, a data de nascimento. Acrescentar categorias de dados pessoais é uma alteração substantiva; não altera prazos de conservação, medidas técnicas e organizativas, subcontratantes ou a repartição de responsabilidade.

Versão anterior 2026-08-studio.3: o § 6 acrescentou a Urban Sports GmbH (Urban Sports Club) como subcontratante, envolvida apenas quando o Responsável pelo Tratamento tiver ativado a integração com o Urban Sports Club. Estando ativada, o horário de aulas do Responsável e os nomes dos instrutores que as dão são transmitidos ao Urban Sports Club para que as aulas possam ser publicadas na sua app. Acrescentar um subcontratante foi uma alteração substantiva.

Versão anterior 2026-08-studio.2: o § 3 acrescentou o número de telefone como dado de contacto opcional de um membro.

Versão anterior 2026-08-studio: o § 3 acrescentou os dados de contacto de membros introduzidos pelo próprio Responsável pelo Tratamento (pessoas sem marcação, reservas por telefone, clientes migrados de um sistema anterior), que chegam ao Subcontratante através do Responsável e não do próprio titular (Art. 14.º do RGPD); o § 4 acrescentou esses membros como categoria de titulares dos dados.

Versão anterior 2026-07-studio: o § 3 abrangia campos de texto livre definidos pelo Responsável pelo Tratamento (formulários de admissão e perguntas por aula), que podem conter categorias especiais de dados nos termos do Art. 9 do RGPD; o § 3.1 acrescentava as obrigações correspondentes do Responsável; o § 4 acrescentava os menores e os acompanhantes convidados como categorias de titulares dos dados; o § 3 abrangia ainda os dados de contacto de acompanhantes convidados, obtidos junto do membro que reserva e não do próprio titular (Art. 14.º do RGPD).

Este Acordo de Processamento de Dados ("APD") é parte integrante dos Termos de Serviço entre o proprietário do estúdio ("Responsável pelo Tratamento") e o StudioBook ("Subcontratante") e rege o tratamento de dados pessoais pelo Subcontratante em nome do Responsável pelo Tratamento, em conformidade com o Art. 28 do RGPD.

1. Âmbito e Partes

Este APD aplica-se entre:
- Responsável pelo Tratamento: O proprietário do estúdio que utiliza o StudioBook para gerir o seu estúdio, aulas e reservas de membros.
- Subcontratante: StudioBook, operado por Marcel Jurna, Am Glockenberg 52, 51515 Kürten, Alemanha. Contacto: hello@studiobook.app, +49 1525 3619145.

O Responsável pelo Tratamento determina as finalidades e os meios do tratamento de dados pessoais. O Subcontratante trata dados pessoais apenas em nome do Responsável pelo Tratamento e de acordo com as suas instruções documentadas.

2. Objeto e Duração

O Subcontratante disponibiliza uma plataforma de reservas e gestão de estúdio baseada na nuvem. No âmbito da prestação deste serviço, o Subcontratante trata dados pessoais em nome do Responsável pelo Tratamento.

Este APD é eficaz durante toda a duração do contrato de serviço entre o Responsável pelo Tratamento e o Subcontratante. Termina automaticamente quando o contrato de serviço termina e todos os dados pessoais foram eliminados ou devolvidos.

3. Tipos de Dados Pessoais Tratados

São tratadas as seguintes categorias de dados pessoais:
- Nomes dos membros/clientes
- Endereços de e-mail dos membros/clientes
- Histórico de reservas (aulas reservadas, cancelamentos, inscrições em lista de espera)
- Registos de presença
- Utilização de pacotes de créditos e planos de adesão
- Referências de pagamento (IDs de cliente/transação Stripe — sem números de cartão ou dados bancários)
- Método de criação de conta (e-mail, Google OAuth)
- Morada postal: recolhida quando um membro adere a um plano com um período mínimo superior a um mês. É tratada para efeitos de faturação (o § 14 da UStG alemã exige a morada completa do destinatário em faturas de valor igual ou superior a 250 €) e para a execução desse contrato, para a qual o § 690 do ZPO alemão exige a morada do devedor no requerimento de injunção. Não é usada para publicidade. Fundamento jurídico: Art. 6.º, n.º 1, alínea b), do RGPD. Aos membros que não adiram a um plano com período mínimo não é pedida.
- Data de nascimento: facultativa e disponibilizada apenas na página de conta do próprio membro — nunca é pedida no checkout, nunca é condição de qualquer compra e não pode ser introduzida pelo Responsável em nome do membro. Visível para o Responsável. Não é usada para publicidade nem para qualquer decisão automatizada. Fundamento jurídico: Art. 6.º, n.º 1, alínea a), do RGPD — consentimento, dado ao introduzi-la e retirado ao limpar o campo.
- Dados de contacto de acompanhantes convidados: nome e, quando indicado, endereço de email de um terceiro que um membro adiciona à sua própria reserva. Estes dados chegam ao Subcontratante através do membro que reserva e não do próprio titular (Art. 14.º do RGPD), servem exclusivamente para informar essa pessoa do lugar reservado em seu nome e são eliminados no prazo de três dias após a aula.
- Dados de contacto de membros introduzidos pelo Responsável pelo Tratamento: nome, endereço de email e — caso o Responsável o introduza — número de telefone de um cliente que o Responsável adiciona diretamente à sua lista de membros, em vez de o próprio cliente se registar — por exemplo, alguém que aparece sem marcação, uma reserva por telefone, ou um cliente migrado de um sistema de reservas anterior. Estes dados chegam ao Subcontratante através do Responsável e não do próprio titular (Art. 14.º do RGPD). O Subcontratante cria um registo de conta sem palavra-passe e, se o Responsável assim o determinar, envia a essa pessoa um único aviso transacional que identifica quem introduziu os seus dados e disponibiliza uma ligação que os remove sem exigir uma conta. Cabe exclusivamente ao Responsável decidir de quem são introduzidos os dados e assegurar o fundamento jurídico para o fazer. Nem a aceitação dos termos de membro nem o consentimento para comunicações de marketing podem ser dados pelo Responsável em nome do titular; ambos permanecem por definir até que a pessoa atue sobre eles.
- Informação em texto livre cujo conteúdo é definido pelo Responsável pelo Tratamento: respostas a formulários de admissão e a perguntas adicionais que o Responsável pode associar a aulas individuais, juntamente com o registo do consentimento (texto apresentado, data e hora). Só o Responsável decide que perguntas são feitas e, por conseguinte, que dados são recolhidos. Esta categoria é, por natureza, aberta e pode incluir categorias especiais de dados pessoais nos termos do Art. 9 do RGPD — em particular dados de saúde, como lesões, condições médicas, alergias ou necessidades relevantes para o cuidado.
- Perfis de crianças (contas de família): nome próprio, apelido e — quando o titular das responsabilidades parentais o introduz — a data de nascimento de uma criança que um membro adiciona à sua própria conta para a inscrever em aulas. Estes dados chegam ao Subcontratante através do titular das responsabilidades parentais e não do próprio titular dos dados (Art. 14.º do RGPD). Não é criada qualquer conta para a criança: sem endereço de email, sem palavra-passe, sem início de sessão, não surgindo qualquer relação direta entre a criança e o Subcontratante. O Responsável pelo Tratamento não pode criar um perfil de criança em nome do membro. Um perfil de criança só é visível para o Responsável quando essa criança tenha uma marcação junto dele. O consentimento do titular das responsabilidades parentais é registado juntamente com o texto exato apresentado e a data e hora. Informações de saúde ou de acompanhamento não são guardadas no perfil; pertencem à marcação individual (ver acima).

3.1 Obrigações do Responsável quanto aos campos por si definidos

Uma vez que é o Responsável pelo Tratamento que define a redação das perguntas de admissão e por aula, cabe-lhe assegurar que:
- apenas são solicitados dados necessários para a finalidade indicada (minimização dos dados, Art. 5.º, n.º 1, al. c) do RGPD);
- existe uma base legal válida para os dados solicitados — no caso de categorias especiais, o consentimento explícito do titular nos termos do Art. 9.º, n.º 2, al. a) do RGPD. A StudioBook disponibiliza o mecanismo de consentimento e regista cada consentimento com o texto exato apresentado no momento;
- não são recolhidos, através destes campos, dados relativos a condenações penais e infrações (Art. 10.º do RGPD).

A StudioBook não inspeciona, avalia nem utiliza de outra forma o conteúdo destes campos, tratando-o exclusivamente com base nas instruções documentadas do Responsável pelo Tratamento.

4. Categorias de Titulares dos Dados

• Membros e clientes do estúdio: pessoas que reservam aulas, adquirem créditos ou planos de adesão, ou que interagem de outra forma com a página de reservas do estúdio.
• Pessoal e instrutores do estúdio: pessoas atribuídas a aulas pelo Responsável pelo Tratamento.
• Acompanhantes convidados: pessoas que um membro adiciona à sua própria reserva e que não têm conta junto do Responsável pelo Tratamento nem do Subcontratante. Os seus dados de contacto são indicados pelo membro que reserva, não por elas.
• Membros introduzidos pelo Responsável pelo Tratamento: pessoas que o Responsável adiciona diretamente à sua lista de membros, em vez de se registarem elas próprias. Os seus dados de contacto são indicados pelo Responsável, não por elas, e a conta criada em seu nome não tem palavra-passe nem termos aceites enquanto não optarem por os definir.
• Menores: crianças e adolescentes sobre os quais um progenitor ou representante legal presta informações ao reservar em seu nome (por exemplo, dados relevantes para o cuidado em atividades para crianças), bem como crianças para as quais um progenitor ou representante legal cria um perfil de criança na sua conta a fim de as inscrever em aulas. Todas estas informações são prestadas e consentidas pelo progenitor ou representante legal; a própria criança não tem conta nem relação direta com o Subcontratante.

5. Obrigações do Subcontratante

5.1 Tratamento segundo Instruções

O Subcontratante trata dados pessoais apenas com base em instruções documentadas do Responsável pelo Tratamento, incluindo no que respeita a transferências de dados pessoais para um país terceiro, salvo se for obrigado a fazê-lo pelo direito da União ou do Estado-Membro. Nesse caso, o Subcontratante informa o Responsável pelo Tratamento dessa obrigação legal antes do tratamento, a menos que a lei o proíba por motivos importantes de interesse público.

5.2 Confidencialidade

O Subcontratante assegura que as pessoas autorizadas a tratar dados pessoais se comprometeram a respeitar a confidencialidade ou estão sujeitas a uma obrigação legal de sigilo adequada.

5.3 Medidas de Segurança (Art. 32 RGPD)

O Subcontratante implementa medidas técnicas e organizativas adequadas para garantir um nível de segurança adequado ao risco. Estas medidas estão descritas em detalhe no Anexo (Medidas Técnicas e Organizativas) deste APD.

5.4 Subcontratantes Ulteriores

O Responsável pelo Tratamento concede ao Subcontratante autorização geral para contratar os subcontratantes ulteriores listados na Secção 6 deste APD. O Subcontratante informa o Responsável pelo Tratamento de quaisquer alterações previstas relativamente à adição ou substituição de subcontratantes ulteriores, dando ao Responsável pelo Tratamento a oportunidade de se opor a tais alterações no prazo de 14 dias. Se o Responsável pelo Tratamento se opuser com fundamentos razoáveis, as partes negociarão de boa-fé para encontrar uma solução. Caso não se encontre solução, o Responsável pelo Tratamento pode rescindir o contrato de serviço.

O Subcontratante impõe a qualquer subcontratante ulterior, por via contratual, as mesmas obrigações de proteção de dados estabelecidas neste APD. O Subcontratante permanece plenamente responsável perante o Responsável pelo Tratamento pelo cumprimento das obrigações do subcontratante ulterior.

5.5 Direitos dos Titulares dos Dados

O Subcontratante presta assistência ao Responsável pelo Tratamento através de medidas técnicas e organizativas adequadas, na medida do possível, para o cumprimento da obrigação do Responsável pelo Tratamento de dar resposta aos pedidos de exercício dos direitos dos titulares dos dados previstos no Capítulo III do RGPD (acesso, retificação, apagamento, limitação, portabilidade, oposição).

5.6 Notificação de Violações de Dados

O Subcontratante notifica o Responsável pelo Tratamento sem demora injustificada, e em qualquer caso no prazo de 24 horas, após tomar conhecimento de uma violação de dados pessoais. A notificação deve incluir:
- Uma descrição da natureza da violação de dados pessoais
- As categorias e o número aproximado de titulares dos dados e registos afetados
- As consequências prováveis da violação
- As medidas adotadas ou propostas para remediar a violação

5.7 Avaliação de Impacto sobre a Proteção de Dados

O Subcontratante presta assistência ao Responsável pelo Tratamento na realização de avaliações de impacto sobre a proteção de dados e nas consultas prévias às autoridades de controlo (Art. 35–36 RGPD), tendo em conta a natureza do tratamento e as informações ao dispor do Subcontratante.

5.8 Eliminação ou Devolução dos Dados

Após a cessação do contrato de serviço, o Subcontratante elimina ou devolve, à escolha do Responsável pelo Tratamento, todos os dados pessoais e elimina as cópias existentes, salvo se o direito da União ou do Estado-Membro exigir a conservação dos dados. Quando o Responsável pelo Tratamento elimina a sua conta, todos os dados pessoais são imediata e permanentemente removidos.

Os períodos de conservação estão detalhados na nossa Política de Privacidade.

5.9 Direitos de Auditoria

O Subcontratante disponibiliza ao Responsável pelo Tratamento todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no Art. 28 do RGPD e permite e contribui para auditorias, incluindo inspeções, realizadas pelo Responsável pelo Tratamento ou por outro auditor por este mandatado. O Subcontratante informa imediatamente o Responsável pelo Tratamento caso considere que uma instrução viola o RGPD ou outras disposições de proteção de dados da União ou dos Estados-Membros.

6. Subcontratantes Ulteriores

O Subcontratante utiliza os seguintes subcontratantes ulteriores:

7. Notificação de Violações de Dados

Em caso de violação de dados pessoais, o Subcontratante deve:
- Notificar o Responsável pelo Tratamento no prazo de 24 horas após tomar conhecimento da violação
- Fornecer todas as informações exigidas pelo Art. 33(3) do RGPD
- Cooperar com o Responsável pelo Tratamento na investigação e resolução da violação
- Auxiliar o Responsável pelo Tratamento no cumprimento das suas obrigações de notificação às autoridades de controlo e aos titulares dos dados

8. Transferências Internacionais de Dados

Quando os dados pessoais são transferidos para subcontratantes ulteriores fora do Espaço Económico Europeu (EEE):
- Cláusulas Contratuais-Tipo da UE (SCCs): estão em vigor com todos os subcontratantes ulteriores fora da UE
- Quadro de Privacidade de Dados UE-EUA: os subcontratantes ulteriores aplicáveis (Stripe, Resend, Google) estão certificados ao abrigo do Quadro de Privacidade de Dados UE-EUA
- O Subcontratante assegura que qualquer transferência cumpre o Capítulo V do RGPD

9. Medidas Técnicas e Organizativas (Anexo)

O Subcontratante implementa as seguintes medidas nos termos do Art. 32 do RGPD:

9.1 Controlo de Acesso

• Políticas de Row Level Security (RLS) em todas as tabelas da base de dados
• Isolamento multi-tenant por studio_id — cada estúdio só pode aceder aos seus próprios dados
• Controlo de acesso baseado em funções (proprietário do estúdio, instrutor, membro)
• Tokens de autenticação baseados em JWT com prazo de validade

9.2 Encriptação

• Em trânsito: Todos os dados transmitidos via TLS 1.2+ (apenas HTTPS)
• Em repouso: Encriptação AES-256 através da infraestrutura Supabase/AWS
• Sem armazenamento ou transmissão de dados não encriptados

9.3 Autenticação

• Hashing de palavras-passe com Bcrypt e salting
• OAuth 2.0 via Google
• Tokens JWT para gestão de sessões
• Fluxos seguros de reposição de palavra-passe via verificação por e-mail

9.4 Disponibilidade e Resiliência

• Backups geridos da base de dados via Supabase
• Capacidade de recuperação point-in-time
• Alojado em infraestrutura AWS na UE com redundância

9.5 Separação de Dados

• Arquitetura multi-tenant lógica com isolamento estrito por studio_id
• Os dados de cada estúdio estão logicamente isolados dos de outros estúdios
• Nenhum acesso a dados entre estúdios é possível através da camada de aplicação

9.6 Controlo de Entrada

• Registo de auditoria através da tabela notification_logs
• Todos os eventos de reserva, cancelamento e pagamento são registados com carimbos temporais
• Registos de entrega de e-mail transacional

9.7 Controlo de Transferência

• Comunicação exclusivamente por HTTPS (sem fallback HTTP)
• Restrições CORS limitando o acesso à API a origens autorizadas
• Autenticação de API obrigatória para todos os endpoints de dados

10. Responsabilidade

O Subcontratante é responsável por danos causados por tratamento que não cumpra este APD ou as obrigações do RGPD especificamente dirigidas a subcontratantes. O Subcontratante permanece responsável se um subcontratante ulterior não cumprir as suas obrigações de proteção de dados.

11. Vigência e Cessação

Este APD é eficaz durante toda a duração do contrato de serviço entre o Responsável pelo Tratamento e o Subcontratante. Não pode ser rescindido separadamente do contrato de serviço. Após a cessação, as obrigações relativas à eliminação/devolução de dados (Secção 5.8) e confidencialidade (Secção 5.2) mantêm-se em vigor.

12. Lei Aplicável e Jurisdição

Este APD é regido pelas leis da República Federal da Alemanha. Para comerciantes, o foro exclusivo é Colónia, Alemanha. Para consumidores, aplicam-se as regras legais sobre jurisdição.

13. Contacto

Para questões relativas a este APD ou a matérias de proteção de dados:

Marcel Jurna
Am Glockenberg 52, 51515 Kürten, Alemanha
E-Mail: hello@studiobook.app
Telefone: +49 1525 3619145