Acordo de processamento (Art. 28 RGPD)

§ 1 Objeto e duração

O objeto é o tratamento de dados pessoais para prestar a zenyogi: site do estúdio, horário, reservas, lista de espera, gestão de alunos e professores, e-mail, loja, vídeos, challenges e pagamentos associados.

A duração é o uso da zenyogi pelo estúdio mais o prazo de apagamento ou devolução após o fim do serviço.

§ 2 Natureza e finalidade

O subcontratante trata os dados só segundo instruções documentadas do estúdio, para que este opere o site, venda aulas, gira reservas e escreva aos alunos.

As finalidades próprias do subcontratante (p. ex. faturar a conta zenyogi) ficam fora deste acordo.

§ 3 Tipos de dados e titulares

Os titulares e tipos de dados constam do anexo A.

§ 4 Instruções documentadas

O subcontratante trata dados só segundo instruções documentadas do responsável, inclusive para transferências para um país terceiro, salvo obrigação do direito da União ou de um Estado-Membro.

As instruções passam pelo software, por e-mail para o endereço do aviso legal ou por este acordo. Se o subcontratante considerar uma instrução ilícita, informa o estúdio sem demora injustificada.

§ 5 Confidencialidade

Quem puder aceder aos dados está obrigado a confidencialidade e só os trata na medida necessária à sua função.

§ 6 Segurança do tratamento

O subcontratante aplica medidas técnicas e organizativas adequadas nos termos do Art. 32.º do RGPD. As medidas atuais estão no anexo B. Qualquer enfraquecimento material é comunicado ao estúdio.

§ 7 Subcontratantes ulteriores

O estúdio autoriza de forma geral os subcontratantes do anexo C.

A zenyogi anuncia um subcontratante novo ou substituto pelo menos 14 dias antes nesta página ou por e-mail. O estúdio pode opor-se por motivo razoável de proteção de dados. Sem oposição, a alteração fica autorizada.

Com os subcontratantes celebram-se contratos com as mesmas obrigações. Stripe, PayPal e SumUp só se usam se o estúdio os ligar; os respetivos DPA também se aplicam.

§ 8 Direitos dos titulares

O subcontratante ajuda o estúdio no acesso, retificação, apagamento, limitação, portabilidade e oposição, com as ferramentas do produto (exportação e apagamento na conta do estúdio) quando existirem.

§ 9 Assistência nos artigos 32.º a 36.º

O subcontratante assiste o estúdio em segurança, notificação de violações, comunicação aos titulares e avaliações de impacto, na medida das informações de que dispõe.

§ 10 Violação de dados

Se uma violação afetar dados deste acordo, o subcontratante notifica o estúdio sem demora injustificada assim que tiver conhecimento, com as informações de que dispõe para os Art. 33.º e 34.º do RGPD.

§ 11 Apagamento e devolução

No fim do tratamento, o subcontratante apaga os dados do estúdio ou devolve-os, conforme o estúdio escolha, salvo obrigação legal de conservação.

Durante a vigência, o estúdio pode exportar e pedir o apagamento de perfis na conta.

§ 12 Informação e auditorias

O subcontratante disponibiliza a informação necessária para demonstrar o cumprimento e permite auditorias, incluindo inspeções, pelo estúdio ou por um auditor mandatado.

As auditorias são anunciadas com tempo, não perturbam o serviço de forma desproporcionada e ocorrem no máximo uma vez por ano, salvo motivo concreto (p. ex. uma violação). Respeita-se a confidencialidade.

§ 13 Transferências internacionais

O subcontratante está estabelecido nos Estados Unidos. Os subcontratantes do anexo C também podem tratar dados nos EUA ou noutros países terceiros.

As transferências assentam numa decisão de adequação (incluindo o Data Privacy Framework UE-EUA se o destinatário estiver certificado) ou nas cláusulas-tipo da Comissão (Decisão 2021/914), módulo 2 e/ou 3, mais medidas suplementares se necessário.

Ao usar a zenyogi, o estúdio instrui o subcontratante a efetuar essas transferências na medida necessária ao serviço.

§ 14 Responsabilidade

A responsabilidade segue o Art. 82.º do RGPD e o direito aplicável. O subcontratante responde perante o estúdio por danos de um tratamento contrário a este acordo ou ao RGPD, na medida da sua culpa.

§ 15 Duração e termo

Este acordo vigora enquanto o estúdio usar a zenyogi e cessa com o contrato de serviço, sem extinguir as obrigações de apagamento, confidencialidade e auditoria que por natureza continuam.

§ 16 Disposições finais

A zenyogi publica alterações nesta página ou por e-mail. Se o estúdio não se opuser por motivo de proteção de dados em 14 dias, aplica-se a nova versão.

Se uma cláusula for inválida, o resto mantém-se. Aplica-se o RGPD. Se for preciso direito nacional complementar, o direito alemão aplica-se a estúdios estabelecidos na UE ou no EEE.

Esta página mostra o acordo no idioma escolhido. Em caso de divergência, o texto alemão prevalece para estúdios na Alemanha ou na Áustria; nos restantes casos, o inglês.

Anexo A — Tratamento

Titulares: alunos e outros clientes do estúdio; professores e pessoal que o estúdio adiciona na zenyogi; contactos de emergência se o estúdio os guardar.

Tipos de dados: nome, e-mail, telefone, morada, data de nascimento, idioma, opt-in de marketing e lembretes, waiver, reservas, lista de espera, assiduidade, mensalidades e compras, notas do estúdio, perfis de professores e estado do pagamento. Os números de cartão ficam no prestador de pagamento ligado. O estúdio também pode guardar imagens ou vídeos de pessoas.

Anexo B — Medidas técnicas e organizativas

O subcontratante mantém pelo menos:

• Cifragem em trânsito (HTTPS/TLS)
• Acesso limitado a contas de estúdio autenticadas; papéis de estúdio e professores
• Separação de dados por businessId
• Cifragem em repouso quando os fornecedores a oferecem
• Cópias de segurança regulares via Convex
• Confidencialidade para quem tem acesso de suporte
• Exportação e apagamento de perfis na conta do estúdio
• Registos de segurança na medida habitual dos serviços usados

Anexo C — Subcontratantes

Lista em 2026-08-25. Os trackers de marketing em zenyogi.io (Vercel Analytics ou Microsoft Clarity) não tratam dados de alunos do estúdio e ficam fora deste acordo.

• Convex, Inc. — Base de dados, funções backend e autenticação. Local: Estados Unidos.
• Vercel Inc. — Alojamento da aplicação e CDN. Local: Estados Unidos / edge global.
• Cloudflare, Inc. — Armazenamento de objetos (R2) para imagens e vídeos. Local: Estados Unidos / rede Cloudflare.
• Resend, Inc. — E-mail transacional e do estúdio. Local: Estados Unidos.
• Stripe, Inc. / Stripe Payments Europe, Ltd. — Pagamentos com cartão quando o estúdio liga o Stripe. Local: UE / Estados Unidos. Só se o estúdio usar Stripe. O DPA da Stripe também se aplica.
• PayPal (Europe) S.à r.l. et Cie, S.C.A. / PayPal, Inc. — Pagamentos quando o estúdio liga o PayPal. Local: UE / Estados Unidos. Só se o estúdio usar PayPal. O DPA da PayPal também se aplica.
• SumUp Limited — Pagamentos quando o estúdio liga o SumUp. Local: UE / Reino Unido. Só se a plataforma tiver o SumUp ativo e o estúdio o usar.