Acordo de tratamento de dados

1. Partes e celebração

O acordo é celebrado entre a clínica registada no Odonto Flow («a clínica», responsável pelo tratamento) e Tymofii Shevchenko, trabalhador independente, NIF 309697107, R. Tenente Coronel Jorge Vargas Mogo 3DT, 8375-129 São Bartolomeu de Messines (Silves, Faro), Portugal («nós», subcontratante).

Se o contrato com a clínica passar para um novo fornecedor (termos de utilização, secção 16), este acordo passa com ele: o novo fornecedor torna-se subcontratante nas mesmas condições, e a clínica é informada com antecedência.

O acordo faz parte dos termos de utilização. A clínica aceita-o no registo; vigora enquanto tratarmos os dados da clínica. Pode pedir uma cópia assinada para privacy@odontoflow.io.

2. Objeto

Tratamos os dados pessoais que a clínica introduz no serviço apenas para lhe prestar o serviço: guardá-los, mostrá-los à sua equipa, enviar mensagens aos pacientes por sua instrução, fazer cópias de segurança e ajudar no suporte. Pormenores no anexo 1.

3. Instruções da clínica

Tratamos os dados apenas segundo instruções documentadas da clínica. As instruções são os termos de utilização, este acordo e as ações da equipa da clínica no serviço (introduzir, alterar, enviar, eliminar).
Se a lei nos obrigar a tratar os dados de outra forma, avisaremos a clínica antes, salvo se a lei o proibir.
Se, na nossa opinião, uma instrução violar o RGPD, informaremos a clínica.

4. Obrigações da clínica

A clínica é responsável pela licitude do tratamento: o fundamento (incluindo para dados de saúde — art. 9.º do RGPD), a informação aos pacientes, o consentimento para mensagens no WhatsApp, a exatidão dos dados, os prazos de conservação da documentação clínica e o acesso da sua equipa.

5. Confidencialidade

Só têm acesso aos dados da clínica os colaboradores que precisam dele para o funcionamento do serviço. Todos estão obrigados a confidencialidade.

Acesso do suporte — apenas com autorização da clínica. Sem autorização, o suporte não entra na conta da clínica. O proprietário da clínica pode ativar o «Acesso do suporte» nas definições durante 7 dias e desativá-lo antes. Enquanto o acesso estiver ativo, um colaborador do suporte pode entrar na conta em nome de um utilizador da clínica — através de uma ligação de uso único, por tempo limitado; cada entrada é registada num histórico (quem, como quem, quando), que a clínica vê. Ao fim de 7 dias o acesso fecha-se sozinho. No painel de gestão do serviço é visível o registo das mensagens enviadas (número, texto, estado) — para o suporte à entrega. As fichas dos pacientes não são mostradas no painel de gestão.

6. Segurança

Adotamos as medidas técnicas e organizativas do art. 32.º do RGPD — enumeradas no anexo 2 — e desenvolvemo-las juntamente com o serviço, sem baixar o nível geral de proteção.

7. Subcontratantes ulteriores

A clínica dá autorização geral para recorrermos aos subcontratantes ulteriores do anexo 3.
Comunicaremos ao proprietário da clínica, por e-mail, um subcontratante novo ou substituído com pelo menos 30 dias de antecedência. A clínica pode opor-se de forma fundamentada; se não houver acordo, pode resolver o contrato e receber o reembolso do período pago não utilizado.
Com cada subcontratante ulterior temos um contrato com obrigações de proteção de dados não inferiores a estas. Respondemos perante a clínica pelo seu trabalho.

8. Transferências para fora do EEE

Os dados da clínica são guardados na UE (Alemanha e Finlândia). Se um subcontratante ulterior transferir dados para fora do EEE, isso só é permitido com uma decisão de adequação da Comissão Europeia ou com cláusulas contratuais-tipo da UE e medidas adicionais.

9. Assistência à clínica

Pedidos dos pacientes (acesso, retificação, apagamento, limitação, portabilidade): se um pedido chegar até nós, encaminhamo-lo para a clínica e não respondemos nós próprios ao paciente. Ferramentas no serviço: a ficha do paciente pode ser impressa ou guardada em PDF na íntegra (exportação), e o paciente pode ser eliminado para sempre («Eliminar para sempre»: ficha, visitas, mensagens, ficheiros).
Ajudamos a clínica com as medidas de segurança, a avaliação de impacto sobre a proteção de dados (AIPD) e as consultas à autoridade de controlo — na parte que diz respeito ao serviço.

10. Incidentes

Comunicamos ao proprietário da clínica uma violação ou outro incidente de segurança que afete os dados da clínica sem demora injustificada — no máximo 72 horas após dele termos conhecimento: o que aconteceu, que dados e quantos registos foram afetados, o que fizemos e o que recomendamos. Notificar a autoridade de controlo e os pacientes, quando necessário, é obrigação da clínica; nós ajudamos.

11. Fim do acordo

Após o fim da subscrição, os dados da clínica são guardados durante 12 meses (para que a clínica possa voltar), sendo depois eliminados por completo, incluindo os ficheiros. A pedido da clínica — mais cedo.
Antes da eliminação, a clínica pode recuperar os seus dados (art. 28.º, n.º 3, alínea g), do RGPD): o proprietário exporta todos os dados da clínica — CSV e um arquivo dos ficheiros — na conta, inclusive após o fim da subscrição, ou a pedido ao suporte no prazo de 30 dias (termos de utilização, secção 7). A ficha de um paciente pode ser impressa ou guardada em PDF.
Os dados desaparecem das cópias de segurança à medida que estas são renovadas — no prazo de 30 dias.
Conservamos por mais tempo apenas o que a lei exige — por exemplo, documentos de pagamento (também conservados pela Paddle).

12. Auditorias

A pedido da clínica, prestamos as informações necessárias para demonstrar o cumprimento deste acordo — descrição das medidas, respostas a questionários de segurança. A clínica ou o seu auditor podem realizar uma auditoria no local no máximo uma vez por ano, com aviso de 30 dias, a expensas próprias e com obrigação de confidencialidade.

13. Responsabilidade e prevalência

A responsabilidade das partes rege-se pelos termos de utilização e pelo RGPD (art. 82.º). Se este acordo contrariar os termos de utilização em matéria de proteção de dados, prevalece este acordo.

Anexo 1. Descrição do tratamento


Titulares dos dados	pacientes da clínica; equipa da clínica (utilizadores do serviço)
Categorias de dados	pacientes: nome, apelido, data de nascimento, sexo, telefone, morada, notas, visitas, procedimentos, montantes, ficheiros (radiografias, fotografias, documentos), consentimento para mensagens no WhatsApp e a respetiva data, textos e estados das mensagens; equipa: nome, e-mail, função, ações no serviço
Categorias especiais	dados de saúde: alertas médicos (alergias, contraindicações, doenças crónicas, medicação), odontograma, histórico de tratamento, radiografias
Operações	conservação, apresentação à equipa da clínica, pesquisa e ordenação, envio de mensagens aos pacientes via WhatsApp por instrução da clínica, cópias de segurança, eliminação
Finalidade	prestação do serviço à clínica
Duração	enquanto a subscrição estiver ativa, depois 12 meses de conservação e eliminação

Anexo 2. Medidas de segurança

ligações cifradas (HTTPS); palavras-passe apenas em hash; chaves do sistema de pagamento guardadas cifradas;
os dados de cada clínica estão isolados dos restantes, e o isolamento é verificado por testes automáticos;
acesso dentro da clínica por funções (proprietário, administrador, médico; o médico vê as suas visitas e as visitas sem médico);
os ficheiros dos pacientes não estão em acesso público: são disponibilizados através de ligações assinadas temporárias;
servidores na UE; a base de dados e os serviços internos não estão expostos à internet; a firewall só deixa passar HTTPS e SSH;
cópias de segurança: diariamente, para um armazenamento separado na UE (não no mesmo servidor); as cópias são cifradas ainda no servidor e guardadas noutro centro de dados, e a reposição a partir delas é testada automaticamente uma vez por mês;
instalação automática de atualizações de segurança nos servidores;
monitorização permanente da disponibilidade do serviço e do envio das cópias de segurança — com alerta em caso de falha;
registo de ações dos utilizadores, registo das entradas do suporte e registo de ações no painel de gestão;
acesso aos servidores apenas para os colaboradores responsáveis, por chaves SSH, sem entrada por palavra-passe; as tentativas de entrada no painel de gestão são limitadas;
autenticação de dois fatores nas contas de alojamento, domínio, e-mail e sistema de pagamento.

Anexo 3. Subcontratantes ulteriores

Quem	Para quê	Onde
Hetzner Online GmbH	servidores, base de dados, armazenamento de ficheiros, cópias de segurança	Alemanha e Finlândia
mailbox.org (Heinlein Hosting GmbH)	e-mails de serviço para a equipa da clínica (sem dados de pacientes nos e-mails)	Alemanha

O WhatsApp não é um subcontratante ulterior, mas um serviço da própria clínica. A clínica liga a sua conta de WhatsApp e aceita ela própria os termos da Meta; não temos contrato com a Meta. Por instrução da clínica, transmitimos para a conta dela o número do paciente e o texto da mensagem, que passam depois a ser tratados pela Meta (WhatsApp Ireland Ltd) nos termos das suas condições, como fornecedor da clínica. A ligação é feita como dispositivo associado, não através da plataforma oficial WhatsApp Business (termos de utilização, secção 9).

A Paddle não é um subcontratante ulterior: não recebe dados de pacientes e trata os dados de pagamento da clínica como responsável autónomo.

O Firebase Cloud Messaging (Google, notificações push nas aplicações) passará a constar desta lista quando as notificações push forem ativadas — com aviso nos termos da secção 7.