Acordo de Tratamento de Dados

Acordo de Tratamento de Dados Pessoais · Clínicas Pro Versão 1.0 · 10 de novembro de 2026 Este acordo regula, nos termos do artigo 28.º do Regulamento (UE) 2016/679 (RGPD) e da Lei n.º 58/2019, o tratamento de dados pessoais que o prestador efetua por conta da clínica na utilização do Clínicas Pro. Integra os Termos de utilização e prevalece sobre eles nas matérias de proteção de dados. É aceite eletronicamente na aplicação, em nome da clínica, pelo responsável ou por um membro da gestão com poderes para a vincular. 1. Partes e contactos Clínica (responsável pelo tratamento): a pessoa singular ou coletiva titular do espaço da clínica no Clínicas Pro, identificada pelos dados da clínica guardados na aplicação, representada por quem aceita este acordo. O contacto de privacidade e incidentes indicado na aceitação é o contacto da clínica para efeitos deste acordo. Prestador (subcontratante): Wellinton Alves de Oliveira, profissional independente sob a marca Lyntev, NIF 309769728, Estrada de São Tiago n.º 376, 2415-543 Marrazes, Leiria, Portugal. Contacto para instruções, pedidos e incidentes: contacto@lyntev.com. 2. Objeto, âmbito e duração O acordo abrange os dados pessoais que a clínica e a sua equipa registam no Clínicas Pro, os que recebe pela página pública de marcação e os que o sistema gera na prestação do serviço por conta da clínica. Vigora enquanto o prestador tratar dados por conta da clínica, incluindo a devolução e o apagamento após o fim do contrato. Ficam fora deste acordo os tratamentos de que o prestador é responsável: conta, contrato, cobrança e faturação da subscrição e dos pacotes de créditos, segurança do serviço, apoio, prova de aceitação dos documentos e obrigações legais. Estão descritos no Aviso de privacidade. O PayPal trata os dados de pagamento como responsável autónomo. 3. Titulares, categorias de dados e operações Titulares: utentes e potenciais utentes, os seus representantes legais, profissionais e membros da equipa da clínica. Dados administrativos: identificação, contactos, morada, NIF quando indicado, marcações, presenças, faltas, cancelamentos, lembretes, propostas, sessões, valores e movimentos internos, tarefas de seguimento e preferências de contacto. Dados de saúde (artigo 9.º do RGPD): registos clínicos, notas, adendas, anexos clínicos e metadados de autoria e acesso; e informação de saúde que uma especialidade, serviço ou motivo de marcação possa revelar. Operações: recolha, registo, importação, organização, conservação, consulta, alteração, envio de confirmações e lembretes ao utente por email com o dia, a hora e o local, exportação, devolução, restauro de cópias e apagamento, apenas para prestar as funções contratadas. 4. Instruções documentadas O prestador trata os dados apenas segundo as instruções documentadas da clínica, que são este acordo, as funções contratadas e as opções que a clínica configura na aplicação. Não usa os dados para finalidades próprias, publicidade, venda ou treino de modelos. Se o direito da União ou nacional exigir outro tratamento, informa previamente a clínica, salvo proibição legal. Avisa a clínica se considerar que uma instrução viola a legislação de proteção de dados. 5. Responsabilidades da clínica A clínica define as finalidades e os fundamentos de licitude, incluindo a condição do artigo 9.º do RGPD aplicável aos dados de saúde, informa os utentes, assegura o sigilo profissional e atribui a cada membro da equipa apenas os acessos de que precisa. Mantém atualizadas as permissões e retira os acessos de quem deixe de precisar deles. Organiza a comunicação aos utentes dos acessos aos seus dados prevista no artigo 29.º da Lei n.º 58/2019, com o apoio do registo de acessos disponível na aplicação. Avalia a necessidade de avaliação de impacto e de encarregado de proteção de dados. Introduz apenas os dados necessários e não envia dados de saúde por canais de apoio não acordados. 6. Confidencialidade O prestador vincula a deveres de confidencialidade as pessoas autorizadas a tratar os dados e limita o acesso ao estritamente necessário. Só acede a dados de uma clínica por instrução documentada desta, para apoio pedido por ela, ou quando a lei o exija, registando o acesso. 7. Medidas de segurança O prestador aplica medidas técnicas e organizativas adequadas ao risco, nomeadamente: separação dos dados por clínica com políticas de acesso na base de dados; permissões por função e, quando a clínica escolhe, por atribuição ao utente; anexos clínicos em armazenamento privado, entregues apenas após validação da sessão, da clínica, do utente e da permissão; comunicações cifradas em trânsito; palavras-passe com requisitos mínimos e confirmação de email; registos de acesso aos dados clínicos e de ações administrativas; cópias de segurança da base de dados com retenção limitada e procedimento de restauro ensaiado; testes automáticos de isolamento entre clínicas antes de cada publicação. Os emails ao utente não incluem o serviço, o profissional nem dados clínicos. 8. Subcontratantes ulteriores Ao aceitar este acordo, a clínica autoriza de forma geral os seguintes subcontratantes, para as funções indicadas: - Supabase, Inc.: base de dados, autenticação e armazenamento de ficheiros, com região principal na Irlanda (União Europeia). - Cloudflare, Inc.: execução da aplicação, rede, proteção contra ataques e envio de emails transacionais. - Anthropic, PBC: apenas se a clínica ativar o Gestor IA do plano Ultra. Recebe pedidos com totais administrativos agregados, sem nomes, contactos, identificadores de utentes nem dados clínicos. O prestador comunica à clínica, por email e com pelo menos 30 dias de antecedência, a inclusão ou substituição de um subcontratante. A clínica pode opor-se por motivos razoáveis de proteção de dados. Se a oposição não puder ser resolvida, pode terminar o contrato sem penalização. O prestador impõe aos subcontratantes obrigações de proteção equivalentes às deste acordo e responde perante a clínica pelo seu cumprimento. 9. Transferências internacionais Os dados ficam alojados na União Europeia. Quando um subcontratante possa tratar dados fora do Espaço Económico Europeu, a transferência apoia-se numa decisão de adequação, incluindo o Quadro de Privacidade de Dados UE-EUA quando aplicável, ou nas cláusulas contratuais-tipo da Comissão Europeia, com as medidas suplementares necessárias. O prestador disponibiliza à clínica a informação sobre cada fluxo. 10. Direitos dos titulares O prestador encaminha para a clínica, sem demora, os pedidos que receba sobre dados tratados por sua conta. A aplicação permite à clínica consultar, corrigir, exportar e, quando a lei o permita, apagar os dados de um utente. O prestador presta a assistência adicional razoável que a clínica peça. 11. Violações de dados O prestador notifica a clínica sem demora injustificada e, sempre que possível, no prazo de 48 horas após ter conhecimento de uma violação de dados tratados por conta desta. Indica a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis, as medidas tomadas ou propostas e um ponto de contacto, completando a informação por fases. A clínica decide as notificações à CNPD e aos titulares; o prestador assiste-a. 12. Informação e auditorias O prestador disponibiliza a informação necessária para demonstrar o cumprimento deste acordo e permite auditorias razoáveis pela clínica ou por auditor mandatado, com aviso prévio de 30 dias, em horário de trabalho e com medidas que protejam a informação de outras clínicas. A primeira resposta é feita com a documentação e os relatórios disponíveis. 13. Devolução e apagamento A clínica pode exportar os seus dados a qualquer momento, sem custos, na área Exportar dados, e pedir uma cópia integral cifrada dos registos e anexos clínicos. Após o fim do contrato, os dados ficam disponíveis para exportação durante pelo menos 30 dias. Depois disso, o prestador apaga os dados da clínica dos sistemas ativos no prazo de 30 dias, salvo conservação imposta por lei, e as cópias de segurança expiram no ciclo normal de retenção. Se houver restauro de uma cópia nesse intervalo, as eliminações devidas são repostas antes do regresso à utilização normal. 14. Aceitação, versões e duração A aceitação regista a conta, o representante, a função, o contacto de privacidade, a data e o resumo criptográfico (SHA-256) desta versão. As alterações materiais dão origem a uma nova versão, que a clínica aceita na aplicação; até lá aplica-se a versão aceite. Este acordo cessa com o fim do tratamento por conta da clínica, mantendo-se as obrigações de confidencialidade, devolução e apagamento. Aplica-se a lei portuguesa.