Acordo de Processamento de Dados (DPA)

O Subcontratante compromete-se a tratar os dados pessoais introduzidos pela Clínica na Plataforma exclusivamente para efeitos de prestação do Serviço, nos termos e durante o período de vigência da conta/subscrição da Clínica, incluindo o período necessário à exportação e/ou eliminação de dados após o termo da relação contratual.

O tratamento consiste no alojamento, armazenamento, organização, consulta, comunicação (dentro da própria conta da Clínica) e eliminação de dados pessoais, para a finalidade de disponibilizar as funcionalidades de gestão clínica, administrativa e financeira da Plataforma (agenda, prontuários, faturação, comunicações, relatórios, entre outras).

Categorias de titulares: pacientes da Clínica; colaboradores da Clínica com conta na Plataforma (profissionais, receção, administradores).

Categorias de dados:

• Dados de identificação e contacto (nome, data de nascimento, sexo, morada, telefone, e-mail);
• Dados de saúde (categoria especial, artigo 9.º do RGPD): notas clínicas, escalas clínicas, objetivos terapêuticos, documentos e formulários clínicos, histórico de consultas;
• Dados financeiros: faturação, pagamentos e pacotes de consultas;
• Dados de comunicação e consentimento (consentimento para comunicações por e-mail/WhatsApp/SMS, formulários de consentimento assinados);
• Dados de conta e de acesso dos colaboradores da Clínica.

• Tratar os dados pessoais apenas mediante instruções documentadas da Clínica, incluindo no que respeita a transferências internacionais, salvo obrigação legal em contrário — caso em que informará a Clínica dessa obrigação, exceto se a lei o proibir.
• Assegurar que as pessoas autorizadas a tratar os dados assumiram um compromisso de confidencialidade.
• Adotar as medidas técnicas e organizativas previstas na secção 6.
• Não subcontratar ulteriormente o tratamento sem autorização geral ou específica da Clínica, nos termos da secção 5.
• Prestar assistência à Clínica no cumprimento das suas obrigações relativas a pedidos de exercício de direitos dos titulares, avaliações de impacto (AIPD) e consultas prévias à autoridade de controlo, tendo em conta a natureza do tratamento e a informação disponível ao Subcontratante.
• Notificar a Clínica sem atraso injustificado após ter conhecimento de uma violação de dados pessoais, nos termos da secção 7.
• Colocar à disposição da Clínica a informação necessária para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD, e permitir e contribuir para auditorias, incluindo inspeções, realizadas pela Clínica ou por auditor por esta mandatado.
• Eliminar ou devolver todos os dados pessoais após o termo da prestação de serviços, a pedido da Clínica, salvo obrigação legal de conservação.

A Clínica autoriza, de forma geral, o recurso pela DelaDeca aos subprocessadores necessários à prestação do Serviço, atualmente incluindo: alojamento em infraestrutura cloud (Microsoft Azure, região UE), processamento de pagamentos (Stripe), monitorização técnica de erros (Sentry), proteção contra bots em formulários públicos (Cloudflare), envio de comunicações transacionais por e-mail, e, quando a funcionalidade correspondente é ativada pela Clínica, sincronização de calendário (Google/Microsoft) e funcionalidades de inteligência artificial.

A DelaDeca impõe a cada subprocessador obrigações de proteção de dados equivalentes às previstas neste DPA. A DelaDeca informará a Clínica de qualquer alteração pretendida relativa à adição ou substituição de subprocessadores, dando à Clínica a oportunidade de se opor a essa alteração por motivo fundado.

• Isolamento lógico dos dados entre clínicas;
• Controlo de acesso baseado em perfis (RBAC), com atribuição granular de permissões pela Clínica;
• Encriptação dos dados em trânsito;
• Autenticação com gestão de sessão segura, incluindo invalidação no encerramento de sessão e expiração automática por inatividade;
• Registo de auditoria das ações relevantes realizadas na Plataforma;
• Cópias de segurança periódicas da base de dados;
• Processo de gestão de vulnerabilidades e atualização de dependências de segurança.

A DelaDeca notificará a Clínica sem atraso injustificado e, sempre que possível, no prazo máximo de 48 horas após ter conhecimento de uma violação de dados pessoais que afete os dados tratados por conta da Clínica, fornecendo a informação disponível para que a Clínica possa cumprir as suas próprias obrigações de notificação nos termos dos artigos 33.º e 34.º do RGPD.

Sempre que o tratamento implique a transferência de dados para fora do Espaço Económico Europeu, tal transferência será realizada com base nos mecanismos previstos no Capítulo V do RGPD, nomeadamente Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia ou decisões de adequação aplicáveis.

No termo da prestação do Serviço, e a pedido da Clínica, a DelaDeca eliminará ou devolverá todos os dados pessoais tratados por conta da Clínica, bem como eliminará as cópias existentes, salvo quando a legislação aplicável exija a conservação desses dados pessoais.

Este DPA mantém-se em vigor enquanto durar o tratamento de dados pessoais ao abrigo dos Termos de Uso, cessando automaticamente com o termo da relação contratual entre a Clínica e a DelaDeca, sem prejuízo do disposto na secção 9.

Para questões relacionadas com este DPA, contacta-nos através de cristianodiasmotta@gmail.com ou pelo telefone +351 92 831 1461.