Diese Richtlinie erläutert, wie die MUPI SYSTEMS LTDA., CNPJ 26.882.608/0001-80, mit Sitz in Montes Claros/MG, Brasilien (“MUPI”, “wir”), personenbezogene Daten im Rahmen der Plattform eAgenda, der Websites eagenda.com.br, eagendas.com und minhaagendavirtual.com.br sowie der mobilen App eAgenda (“PLATTFORM”) verarbeitet. Sie wurde in Übereinstimmung mit dem brasilianischen Allgemeinen Datenschutzgesetz (Gesetz 13.709/2018 — LGPD), dem Bürgerlichen Rahmengesetz für das Internet (Gesetz 12.965/2014) und, soweit auf betroffene Personen im Ausland anwendbar, der Verordnung (EU) 2016/679 (DSGVO) erstellt. Die großgeschriebenen Begriffe haben die in den Nutzungsbedingungen festgelegte Bedeutung.

1. Wer ist verantwortlich und wie Sie uns erreichen

MUPI verfügt über einen Datenschutzbeauftragten (DSB), der über die in diesem Abschnitt genannten Kanäle erreichbar ist.

Kanal der betroffenen Person: Anfragen zu personenbezogenen Daten — Ausübung von Rechten, Fragen und Beschwerden — können per E-Mail an contato@mupisystems.com.br eingereicht werden. Jede Anfrage erhält eine Vorgangsnummer und eine Statusverfolgung innerhalb der Frist des Abschnitts 10. Für die Einreichung einer Anfrage ist kein Konto erforderlich.

2. Die zwei Rollen von MUPI: bitte zuerst lesen

Die PLATTFORM umfasst zwei unterschiedliche Datenflüsse mit unterschiedlichen Verantwortlichen:

(a) MUPI als VERANTWORTLICHER. Für die Daten der AUFTRAGGEBER (die Fachkraft oder das Unternehmen, das eAgenda abonniert), ihrer AUTORISIERTEN NUTZER und der Besucher unserer Websites bestimmt MUPI die Zwecke der Verarbeitung und ist der Verantwortliche. Die Abschnitte 3 bis 12 dieser Richtlinie behandeln diesen Datenfluss.

(b) MUPI als AUFTRAGSVERARBEITER. Für die Daten der ENDNUTZER — der Personen, die bei einem AUFTRAGGEBER Termine buchen (zum Beispiel der Patient einer Klinik oder der Kunde eines Salons) — ist der Verantwortliche der AUFTRAGGEBER, der entscheidet, wie diese Daten verwendet werden. MUPI handelt als Auftragsverarbeiter und verarbeitet sie ausschließlich zur Ermöglichung des Dienstes, gemäß den Nutzungsbedingungen (Klausel 17) und dem Auftragsverarbeitungsvertrag.

Wenn Sie ein ENDNUTZER sind (Sie haben bei einem Betrieb, der eAgenda nutzt, einen Termin gebucht): Ihre Termindaten gehören zur Beziehung zwischen Ihnen und diesem Betrieb. Um Ihre Datenschutzrechte in Bezug auf diese Daten auszuüben — Auskunft, Berichtigung, Löschung —, wenden Sie sich zuerst an den Betrieb, der der Verantwortliche ist. Wenn Sie es vorziehen, können Sie uns über den Kanal in Abschnitt 1 kontaktieren: Wir leiten Ihre Anfrage an den Betrieb weiter und leisten die zur Bearbeitung erforderliche technische Unterstützung.

3. Welche Daten wir verarbeiten und wozu (MUPI als Verantwortlicher)

Daten	Zweck	Rechtsgrundlage (LGPD, Art. 7)
Registrierung des AUFTRAGGEBERS: Name, E-Mail, Telefon, Anschrift, Steuernummer (CPF/CNPJ)	Erstellung und Verwaltung des KONTOS; Identifizierung des Kunden; vertragliche Mitteilungen (Hinweise zu Abrechnung, Sperrung, Änderung der Bedingungen)	Vertragserfüllung (V)
Abrechnungsdaten und Zahlungshistorie	Abrechnung, Ausstellung von Steuerdokumenten, Betrugs- und Zahlungsausfallprävention	Vertragserfüllung (V); rechtliche Verpflichtung (II); berechtigtes Interesse (IX)
Navigationsdaten: aufgerufene Seiten, IP, Browser, Gerät, Datum und Uhrzeit	Sicherheit, Betrugsprävention, Einhaltung des Bürgerlichen Rahmengesetzes für das Internet, Verbesserung der PLATTFORM	Rechtliche Verpflichtung (II); berechtigtes Interesse (IX)
Technische Daten der mobilen App: Authentifizierung, Gerät, Benachrichtigungen	Betrieb der App und Zustellung von Benachrichtigungen	Vertragserfüllung (V)
E-Mail für informative Mitteilungen und Marketing	Neuigkeiten, Inhalte und Angebote, gemäß der Anti-Spam-Richtlinie (Teil I, Abschnitt 3)	Berechtigtes Interesse (IX), mit freiem Opt-out; Einwilligung (I), wenn außerhalb der Vertragsbeziehung erhoben
Support- und Servicedaten	Bearbeitung von Anfragen und Verbesserung des Dienstes	Vertragserfüllung (V); berechtigtes Interesse (IX)

Zahlungen: Kartendaten werden unmittelbar von zertifizierten Zahlungsvermittlern (PCI-DSS) erhoben und verarbeitet. MUPI erhebt und speichert keine vollständigen Kartennummern — wir erhalten lediglich tokenisierte Kennungen und die Transaktionsbestätigung.

Was wir nicht tun: Verkauf personenbezogener Daten; Nutzung von Vertrags- oder Termindaten für zielgerichtete Werbung; automatisierte Entscheidungen, die rechtliche Wirkungen gegenüber den betroffenen Personen entfalten. Sollte eine dieser Praktiken eingeführt werden, wird diese Richtlinie vorab aktualisiert, hervorgehoben und, soweit erforderlich, mit Einholung der Einwilligung.

4. Im Auftrag der AUFTRAGGEBER verarbeitete Daten (MUPI als Auftragsverarbeiter)

Zur Erbringung des Dienstes speichert und verarbeitet die PLATTFORM die Daten, die die AUFTRAGGEBER und ihre ENDNUTZER eingeben: Namen und Kontaktdaten der Teilnehmer, Termindetails, Kundenkarteien und Leistungshistorie. Diese Daten: (a) werden ausschließlich gemäß den in den Nutzungsbedingungen und den Funktionen der PLATTFORM verkörperten Weisungen des AUFTRAGGEBERS verarbeitet; (b) werden von MUPI nicht für eigene Zwecke genutzt, vorbehaltlich der Nutzung anonymisierter Daten für Statistiken und die Verbesserung des Dienstes; (c) unterliegen dem Aufbewahrungs-, Export- und Löschungsregime der Klauseln 6.5 und 12 der Nutzungsbedingungen. Die vollständigen Bedingungen dieser Verarbeitung sind im Auftragsverarbeitungsvertrag festgelegt.

5. Sensible Daten und Daten von Kindern und Jugendlichen

eAgenda bedient Bereiche — wie das Gesundheitswesen (Ärzte, Psychologen, Physiotherapeuten, Telemedizin) und die Bildung —, in denen Termindaten sensible personenbezogene Daten (Art. 5, II, LGPD) offenbaren oder Kinder und Jugendliche (Art. 14, LGPD) betreffen können. In diesen Fällen:

ist der AUFTRAGGEBER als Verantwortlicher dafür zuständig, die angemessene Rechtsgrundlage sicherzustellen (Art. 11 für sensible Daten; Kindeswohl und, soweit erforderlich, Einwilligung mindestens eines Elternteils oder Erziehungsberechtigten bei Minderjährigen);
wendet MUPI als Auftragsverarbeiter auf diese Daten dieselben technischen Schutzmaßnahmen des Abschnitts 8 an, eine auf die Erbringung des Dienstes beschränkte Verarbeitung und einen auf den operativen Bedarf begrenzten internen Zugriff;
zeigt die PLATTFORM Termindaten nicht öffentlich an; der Zugriff ist auf den AUFTRAGGEBER und, hinsichtlich der eigenen Termine, auf den ENDNUTZER beschränkt.

6. Mit wem wir Daten teilen

Wir teilen personenbezogene Daten nur mit: (a) Unterauftragsverarbeitern, die für die Erbringung des Dienstes erforderlich sind — Cloud-Hosting, Zahlungsvermittler, Anbieter für E-Mail- und Nachrichtenversand (einschließlich WhatsApp/Meta, sofern der Kanal vom AUFTRAGGEBER aktiviert ist) —, die vertraglich an Sicherheits- und Datenschutzpflichten gebunden sind, die mit dieser Richtlinie vereinbar sind; (b) öffentlichen Behörden, sofern eine rechtliche Verpflichtung oder eine Anordnung einer zuständigen Behörde besteht, wobei der AUFTRAGGEBER vorab informiert wird, sofern das Gesetz dies nicht untersagt (Nutzungsbedingungen, Klausel 17.3.f); (c) Rechtsnachfolgern, im Falle einer gesellschaftsrechtlichen Umstrukturierung, wobei die Verpflichtungen dieser Richtlinie bestehen bleiben.

Die Kategorien der Unterauftragsverarbeiter mit Zweck und Standort sind in Anhang III des Auftragsverarbeitungsvertrags aufgeführt.

7. Internationale Datenübermittlung

Die Daten werden in nach ISO/IEC 27001 zertifizierten Rechenzentren in Brasilien und/oder im Ausland gespeichert, insbesondere in den Vereinigten Staaten und der Europäischen Union. Internationale Übermittlungen erfolgen auf der Grundlage von Art. 33 der LGPD und der Verordnung über internationale Übermittlungen der ANPD (Resolution CD/ANPD Nr. 19/2024), vorzugsweise mittels in die Verträge mit den Anbietern aufgenommener Standardvertragsklauseln der ANPD oder eines anderen von der ANPD anerkannten gültigen Mechanismus.

8. Informationssicherheit

Wir treffen technische und organisatorische Maßnahmen, die geeignet sind, personenbezogene Daten vor unbefugtem Zugriff und vor zufälliger oder unrechtmäßiger Zerstörung, Verlust oder Veränderung zu schützen, darunter: Verschlüsselung mit TLS 1.2 oder höher bei der Übertragung; Speicherung von Passwörtern mit robusten Hash-Algorithmen (bcrypt/Argon2); rollenbasierte Zugriffskontrolle und Protokollierung; Sicherungskopien mit kontrollierter Bereinigung (Nutzungsbedingungen, Klausel 6.5); Bindung von Mitarbeitern und Unterauftragsverarbeitern an Vertraulichkeitspflichten.

Sicherheitsvorfälle: Vorfälle, die ein erhebliches Risiko oder einen erheblichen Schaden für die betroffenen Personen mit sich bringen können, werden der ANPD und den betroffenen Personen innerhalb von 3 (drei) Werktagen nach Kenntnisnahme gemeldet (Art. 48 der LGPD und Resolution CD/ANPD Nr. 15/2024). Betroffene AUFTRAGGEBER werden innerhalb von 24 (vierundzwanzig) Stunden nach Kenntnisnahme per E-Mail benachrichtigt, gemäß Klausel 17.3.g der Nutzungsbedingungen.

9. Wie lange wir die Daten aufbewahren

Kategorie	Frist	Grundlage
DATEN DES AUFTRAGGEBERS auf der PLATTFORM (Termine, Kundenkarteien, Einstellungen)	Während der Vertragslaufzeit; nach Kündigung, Sperrung oder nicht umgewandelter Testphase das Regime der Klauseln 4.2, 6.3, 6.5 und 12 der Nutzungsbedingungen (Löschung mit Vorankündigung; Sicherungskopien innerhalb von 90 Tagen bereinigt)	Vertragserfüllung; LGPD, Art. 15
Registrierungs- und Vertragsdaten des AUFTRAGGEBERS	Bis zu 5 (fünf) Jahre nach Schließung des KONTOS	Verjährungsfristen (Zivilgesetzbuch, Art. 206) und Verteidigung in Verfahren (LGPD, Art. 7, VI)
Steuerdokumente und Zahlungsaufzeichnungen	Mindestens 5 (fünf) Jahre	Gesetzliche steuerliche Verpflichtung
Zugriffsprotokolle (Logs)	6 (sechs) Monate	Bürgerliches Rahmengesetz für das Internet, Art. 15
Marketing-E-Mail nach Opt-out	Aufzeichnung der Abmeldung, aufbewahrt in einer Sperrliste	Berechtigtes Interesse (Nachweis der Beachtung des Opt-outs)

Nach Ablauf der Fristen werden die Daten gelöscht oder anonymisiert, vorbehaltlich der Fälle des Art. 16 der LGPD.

10. Ihre Rechte und wie Sie sie ausüben

Jede betroffene Person kann die Rechte des Art. 18 der LGPD unentgeltlich ausüben: Bestätigung des Bestehens einer Verarbeitung; Auskunft; Berichtigung unvollständiger, unrichtiger oder veralteter Daten; Anonymisierung, Sperrung oder Löschung nicht erforderlicher, übermäßiger oder nicht rechtskonform verarbeiteter Daten; Übertragbarkeit; Löschung der mit Einwilligung verarbeiteten Daten; Information über die Weitergabe; Information über die Möglichkeit, die Einwilligung zu verweigern, und deren Folgen; sowie Widerruf der Einwilligung.

Wie Sie sie ausüben: über den in Abschnitt 1 genannten Kanal, der eine Vorgangsnummer erzeugt und die Verfolgung des Fortschritts ermöglicht. Für die Einreichung der Anfrage ist kein Konto erforderlich. Zum Schutz der betroffenen Personen selbst können wir vor der Bereitstellung von Daten eine verhältnismäßige Identitätsprüfung durchführen (zum Beispiel Bestätigung über die registrierte E-Mail oder Telefonnummer). Wir antworten: (a) in vereinfachter Form, unverzüglich; oder (b) durch vollständige Erklärung, innerhalb von 15 (fünfzehn) Tagen ab der Anfrage (LGPD, Art. 19, II). Anfragen von ENDNUTZERN zu Termindaten folgen dem Ablauf des Abschnitts 2.b, mit protokollierter Weiterleitung an den AUFTRAGGEBER als Verantwortlichen. Die betroffene Person kann sich zudem an die ANPD wenden (gov.br/anpd).

Der Widerruf der Einwilligung oder die Löschung von Daten, die für die Vertragserfüllung erforderlich sind, kann die Erbringung des Dienstes unmöglich machen, worüber bei der Bearbeitung der Anfrage informiert wird.

11. Cookies und ähnliche Technologien

Wir verwenden Cookies gemäß den Kategorien unseres Präferenz-Panels, das auf allen Seiten verfügbar ist:

Notwendige (immer aktiv): Authentifizierung, Sicherheit und wesentliche Funktion der Website — Rechtsgrundlage: berechtigtes Interesse / Vertragserfüllung;
Analytische: Reichweitenmessung und Verbesserung der Website (Google Analytics) — nur mit Einwilligung aktiviert;
Marketing: Kampagnenmessung und Werbung (Google Ads und gleichwertige Plattformen) — nur mit Einwilligung aktiviert.

Die Präferenzen können jederzeit über das Panel (“Anpassen” / “Alle ablehnen”) oder über die Browsereinstellungen überprüft werden.

12. Änderungen dieser Richtlinie

Diese Richtlinie kann aktualisiert werden, mit Veröffentlichung der neuen Fassung auf dieser Seite, Angabe des Datums des Inkrafttretens und einer Versionshistorie. Änderungen, die Verarbeitungen erweitern oder Garantien verringern, werden den AUFTRAGGEBERN mindestens 30 (dreißig) Tage im Voraus per E-Mail mitgeteilt, gemäß Klausel 19 der Nutzungsbedingungen.