Acordo de Processamento de Dados (DPA)

O presente Acordo de Processamento de Dados ("DPA") é celebrado nos termos do artigo 28.º do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados — "RGPD"), entre:

• Responsável pelo Tratamento ("Responsável"): o profissional de saúde, clínica, consultório, organização ou outro estabelecimento que contrata os serviços da plataforma Medora e que determina as finalidades e os meios de tratamento dos dados pessoais dos seus utentes ("Dados do Utente").
• Subcontratante ("Subcontratante"): ZEBRA ALGÉBRICA LDA, pessoa coletiva n.º 519189612, com sede na Rua Teófilo Braga 85, 3.º Andar, 2785-122 São Domingos de Rana (doravante "Medora"), que trata Dados do Utente em nome e por conta do Responsável.

Sempre que neste DPA se refere "profissional de saúde", entende-se igualmente a clínica, consultório, organização ou estabelecimento titular da subscrição, consoante o caso.

Âmbito. O presente DPA aplica-se exclusivamente ao tratamento de Dados do Utente realizado pela Medora em nome do Responsável. Não se aplica a tratamentos em que a Medora atua como responsável pelo tratamento (designadamente Dados de Conta, faturação da subscrição, suporte, segurança, website institucional, leads comerciais, cookies de marketing e medição publicitária), os quais se regem pela Política de Privacidade. Os fornecedores utilizados pela Medora apenas nesses tratamentos em que é responsável encontram-se identificados na Política de Privacidade e na Política de Cookies.

O presente DPA constitui parte integrante dos Termos e Condições.

1. Objeto e duração

O presente DPA tem por objeto a definição das condições em que o Subcontratante (Medora) efetua o tratamento dos Dados do Utente em nome do Responsável, no âmbito da utilização da plataforma Medora para gestão da atividade profissional do Responsável.

O tratamento de Dados do Utente pelo Subcontratante tem início na data de registo do Responsável na plataforma e mantém-se durante toda a vigência do contrato de prestação de serviços, cessando nos termos previstos na cláusula 13 do presente acordo.

2. Natureza e finalidade do tratamento

O Subcontratante trata os Dados do Utente exclusivamente para as seguintes finalidades, segundo as instruções documentadas do Responsável e no âmbito da prestação dos serviços da plataforma Medora:

• Gestão de fichas clínicas e registos de utentes;
• Agendamento e gestão de consultas presenciais e videoconsultas;
• Emissão e partilha de declarações e demais documentos clínicos e administrativos;
• Realização de videoconsultas;
• Intermediação técnica para emissão de documentos fiscais aos utentes através do sistema de faturação certificado contratado pelo Responsável;
• Gestão de consentimentos informados e formulários;
• Comunicações operacionais com utentes (lembretes, confirmações, alterações);
• Armazenamento e proteção dos Dados do Utente.

As operações de tratamento incluem: recolha, registo, organização, estruturação, conservação, adaptação, consulta, utilização, divulgação por transmissão ao Responsável, apagamento e destruição de Dados do Utente.

3. Tipo de dados e categorias de titulares

3.1 Tipos de dados pessoais tratados

• Dados de identificação: nome, data de nascimento, género, número de identificação civil, NIF, número de utente do SNS;
• Dados de contacto: morada, telefone, email;
• Dados de saúde (artigo 9.º do RGPD): antecedentes clínicos, diagnósticos, resultados de exames, alergias, notas clínicas, registos de consultas, informação sobre tratamentos;
• Dados de consultas: agendamentos, histórico e metadados associados (a plataforma não grava o conteúdo audiovisual das videoconsultas);
• Dados de faturação dos utentes: NIF, morada de faturação.

3.2 Categorias de titulares dos dados

• Utentes do profissional, clínica ou organização que utiliza a plataforma Medora;
• Quando aplicável, representantes legais ou pessoas de contacto indicadas pelo utente.

Nota importante: os dados de saúde constituem categorias especiais de dados pessoais nos termos do artigo 9.º do RGPD, sujeitos a proteção reforçada. O seu tratamento é tipicamente efetuado ao abrigo do artigo 9.º, n.º 2, alínea h) do RGPD (prestação de cuidados de saúde e gestão de serviços de saúde), sob responsabilidade de profissional sujeito a sigilo profissional ou a obrigação de confidencialidade equivalente, em conjugação com o artigo 9.º, n.º 3 do RGPD e com o artigo 29.º da Lei n.º 58/2019, de 8 de agosto. A determinação concreta da base de licitude e a obtenção dos consentimentos clínicos exigíveis competem ao Responsável.

4. Obrigações do Subcontratante (Medora)

O Subcontratante compromete-se a:

• Tratamento conforme instruções: tratar os Dados do Utente apenas de acordo com as instruções documentadas do Responsável, incluindo no que respeita a transferências de dados para países terceiros, salvo se obrigado a fazê-lo pelo direito da União ou de um Estado-Membro;
• Confidencialidade: assegurar que todas as pessoas autorizadas a tratar os Dados do Utente assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade;
• Medidas de segurança: adotar todas as medidas técnicas e organizativas necessárias para garantir um nível de segurança adequado ao risco, conforme detalhado na cláusula 9;
• Sub-subcontratação: não recorrer a outro subcontratante de Dados do Utente sem autorização prévia por escrito, geral ou específica, do Responsável, nos termos da cláusula 7;
• Assistência ao Responsável: prestar assistência ao Responsável através de medidas técnicas e organizativas adequadas, na medida do possível, para que este possa cumprir a sua obrigação de dar resposta aos pedidos de exercício dos direitos dos titulares dos dados, conforme a cláusula 10;
• Notificação de violações de dados: notificar o Responsável, sem demora indevida e, sempre que possível, no prazo máximo de 72 horas após ter conhecimento, de qualquer violação de Dados do Utente, fornecendo, à medida que estiver disponível, informação sobre a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis, as medidas adotadas ou propostas e o ponto de contacto técnico, para que o Responsável possa, na qualidade de responsável pelo tratamento, avaliar e cumprir as suas obrigações de notificação à CNPD e aos titulares dos dados, nos termos dos artigos 33.º e 34.º do RGPD;
• Avaliação de impacto: prestar assistência ao Responsável na realização de avaliações de impacto sobre a proteção de dados (AIPD/DPIA) e na consulta prévia à autoridade de controlo, quando necessário, conforme a cláusula 11;
• Devolução e eliminação: no termo da prestação dos serviços, e de acordo com a escolha do Responsável, devolver ou apagar os Dados do Utente e respetivas cópias, nos termos da cláusula 13;
• Auditorias: disponibilizar ao Responsável todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD e permitir e contribuir para auditorias, conforme a cláusula 12.

5. Obrigações do Responsável

O Responsável compromete-se a:

• Base de licitude: determinar e documentar a base de licitude adequada para o tratamento dos Dados do Utente, designadamente ao abrigo do artigo 9.º, n.º 2, alínea h) do RGPD (em conjugação com o artigo 9.º, n.º 3 do RGPD e o artigo 29.º da Lei n.º 58/2019, de 8 de agosto), distinguindo a base de licitude RGPD do consentimento clínico/informado relativo a atos profissionais;
• Consentimento clínico: obter e gerir os consentimentos clínicos exigíveis ao abrigo da legislação e das normas deontológicas aplicáveis;
• Informação aos titulares: prestar aos titulares as informações exigidas pelos artigos 13.º e 14.º do RGPD;
• Direitos dos titulares: dar resposta aos pedidos de exercício dos direitos dos titulares (acesso, retificação, apagamento, portabilidade, limitação, oposição), podendo solicitar a assistência do Subcontratante;
• Instruções de tratamento: fornecer instruções documentadas ao Subcontratante relativamente ao tratamento dos Dados do Utente, designadamente através das configurações da conta e da Organização;
• Licitude dos dados: garantir que os Dados do Utente introduzidos na plataforma são lícitos, exatos, atualizados e adequados às finalidades, em cumprimento dos princípios da minimização e da limitação das finalidades;
• Notificação de violações: cumprir, na qualidade de responsável pelo tratamento, as suas obrigações de notificação à CNPD e aos titulares dos dados nos prazos previstos nos artigos 33.º e 34.º do RGPD, quando aplicáveis;
• AIPD/DPIA: avaliar a necessidade de realização de AIPD nos termos do artigo 35.º do RGPD e adotar as medidas legalmente exigíveis.

6. Instruções documentadas

Constituem instruções documentadas do Responsável: (i) os Termos e Condições e o presente DPA; (ii) as configurações que o Responsável aplica na sua conta e na Organização (designadamente permissões, retenções, integrações ativadas, fluxos de consentimento, modelos de comunicações); (iii) as instruções específicas que o Responsável dirija expressamente ao Subcontratante por escrito (incluindo email) no âmbito da utilização da plataforma.

O Subcontratante informa o Responsável caso considere que uma instrução viola o RGPD ou outra disposição da União ou de Estado-Membro em matéria de proteção de dados.

7. Sub-subcontratantes de Dados do Utente

O Responsável autoriza de forma geral o Subcontratante a recorrer aos seguintes sub-subcontratantes para o tratamento de Dados do Utente, no âmbito das finalidades previstas neste DPA. A lista abaixo inclui apenas fornecedores que podem tratar Dados do Utente por conta do Responsável. Os fornecedores utilizados pela Medora exclusivamente para tratamentos em que atua como responsável (designadamente alojamento do website institucional, leads comerciais, medição publicitária e analytics de marketing) não constam desta lista — vide cláusula 8.

O Subcontratante obriga-se a informar o Responsável, com a antecedência mínima de 30 dias, de quaisquer alterações previstas quanto ao aditamento ou substituição de sub-subcontratantes de Dados do Utente, dando ao Responsável a oportunidade de se opor de forma fundamentada a tais alterações no mesmo prazo.

Caso o Responsável se oponha de forma fundamentada à alteração e não seja possível manter o serviço sem o sub-subcontratante em causa, qualquer das partes pode resolver o contrato com um pré-aviso adicional de 30 dias, aplicando-se o disposto na cláusula 13 quanto à devolução e eliminação dos Dados do Utente.

O Subcontratante assegura que os sub-subcontratantes ficam vinculados às mesmas obrigações de proteção de dados previstas neste DPA, através de contratos escritos nos termos do artigo 28.º, n.º 4, do RGPD.

8. Fornecedores utilizados pela Medora enquanto responsável pelo tratamento

Para fins de transparência e a título informativo, a Medora recorre adicionalmente a outros fornecedores em tratamentos em que atua como responsável pelo tratamento (e não em nome do Responsável). Estes fornecedores não tratam Dados do Utente e o artigo 28.º do RGPD não lhes é aplicável no contexto do presente DPA. Entre outros, e a título exemplificativo:

• Vercel Inc. — alojamento e CDN do website institucional medora.pt;
• Google Ireland Ltd. (Google Ads) — medição de conversões publicitárias no website institucional, apenas com consentimento;
• Meta Platforms Ireland Ltd. (Meta Pixel) — medição da eficácia de campanhas publicitárias no website institucional, apenas com consentimento;
• PostHog — análise agregada da utilização do website institucional, apenas com consentimento;
• Stripe Payments Europe, Ltd. — cobrança da subscrição da plataforma ao próprio Responsável;
• Apple Distribution International Ltd. (Apple Push Notification service) — transporte de notificações para a aplicação de apoio no dispositivo da equipa de apoio da Medora; recebe um identificador do dispositivo e um identificador de evento e de sala, não o conteúdo das mensagens;
• Google Ireland Limited (Firebase Cloud Messaging) — transporte de notificações para a aplicação de apoio no dispositivo da equipa de apoio da Medora; recebe um identificador do dispositivo e um identificador de evento e de sala, não o conteúdo das mensagens.

O chat de apoio interno da Medora (funcionalidade de suporte, reservada à equipa Medora e nunca acessível aos utentes) não recorre a qualquer serviço de chat de terceiros. O conteúdo das mensagens é conservado na base de dados da própria Medora, alojada pela Aiven Oy, e espelhado num servidor Matrix operado pela própria Medora na infraestrutura da Hetzner Online GmbH — ambas as entidades já identificadas na cláusula 7. Apple e Google, acima identificadas, são utilizadas exclusivamente como transporte técnico de notificações push para o dispositivo da equipa de apoio, sem acesso ao conteúdo das mensagens.

A lista atualizada destes fornecedores, com as respetivas finalidades e salvaguardas, consta da Política de Privacidade e da Política de Cookies.

9. Medidas de segurança

O Subcontratante implementa as seguintes medidas técnicas e organizativas para garantir a segurança dos Dados do Utente tratados:

9.1 Medidas técnicas

• Encriptação em trânsito: todas as comunicações são protegidas por TLS (Transport Layer Security);
• Encriptação em repouso: os dados armazenados são encriptados utilizando algoritmos reconhecidos como seguros;
• Controlo de acessos (RBAC): sistema de controlo de acessos baseado em funções, com permissões granulares por funcionalidade e princípio do menor privilégio;
• Autenticação segura: palavras-passe armazenadas com funções de hashing seguras, comprimento mínimo obrigatório e início de sessão alternativo através de conta Google (OpenID Connect);
• Registos de auditoria: logging das operações relevantes sobre Dados do Utente (criação, alteração, exportação, descarregamento de documentos e alterações de permissões), com registo de quem, quando e sobre que dados;
• Backups: cópias de segurança automáticas, encriptadas, com procedimentos de recuperação testados, rotação periódica e eliminação progressiva;
• Deteção de violações: sistemas de monitorização e alerta para deteção de acessos não autorizados ou comportamentos anómalos.

9.2 Medidas organizativas

• Práticas de segurança da informação aplicadas ao desenvolvimento e à operação da plataforma;
• Sensibilização interna em proteção de dados e segurança;
• Obrigações de confidencialidade aplicáveis a colaboradores e prestadores de serviços com acesso a Dados do Utente;
• Procedimentos de gestão de incidentes de segurança;
• Revisão periódica das medidas de segurança implementadas e avaliação interna de risco.

10. Assistência ao Responsável

O Subcontratante presta assistência ao Responsável, designadamente, nas seguintes matérias:

• Direitos dos titulares: disponibilização de funcionalidades técnicas que permitam ao Responsável responder a pedidos de acesso, retificação, apagamento, portabilidade, limitação e oposição dos titulares dos dados;
• Notificações de violações: fornecimento de informação detalhada sobre violações de Dados do Utente, incluindo natureza, dados afetados, medidas adotadas e recomendações, para que o Responsável possa cumprir as obrigações de notificação previstas nos artigos 33.º e 34.º do RGPD;
• Consultas prévias: assistência na consulta prévia à CNPD, quando exigida nos termos do artigo 36.º do RGPD.

11. Avaliação de impacto (AIPD/DPIA)

Cabe ao Responsável, na qualidade de responsável pelo tratamento, avaliar a necessidade e realizar a AIPD nos termos do artigo 35.º do RGPD relativamente ao tratamento dos Dados do Utente.

O Subcontratante mantém uma avaliação interna de risco das operações da plataforma e, quando aplicável, AIPD relativa à operação que conduz enquanto responsável pelo tratamento, designadamente em razão da introdução de funcionalidades novas com impacto material em matéria de proteção de dados (incluindo, sempre que aplicável, funcionalidades baseadas em inteligência artificial).

A pedido razoável do Responsável, o Subcontratante disponibiliza a informação necessária para apoiar a AIPD que aquele venha a realizar, sem prejuízo do disposto na cláusula 12.

12. Auditoria

O Subcontratante disponibiliza ao Responsável, mediante pedido razoável e mediante celebração de acordo de confidencialidade específico, a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD, designadamente:

• resposta a questionários de segurança e proteção de dados, em prazo razoável a acordar entre as partes;
• cópia de relatórios de auditoria ou certificações que o Subcontratante venha a obter (quando aplicável);
• cópia das cláusulas contratuais celebradas com sub-subcontratantes, em versão redigida na parte estritamente necessária por razões de confidencialidade.

Auditorias no local podem ser solicitadas pelo Responsável mediante aviso prévio razoável (não inferior a 30 dias), em horário laboral, sem perturbação da operação, no máximo uma vez por ano e a expensas do Responsável, salvo quando a auditoria seja motivada por violação imputável ao Subcontratante. A auditoria pode ser realizada por terceiro independente vinculado a sigilo, sujeito a acordo prévio quanto ao âmbito e à metodologia.

13. Devolução e eliminação de dados

Após o termo do contrato de prestação de serviços, e de acordo com a escolha do Responsável (nos termos do artigo 28.º, n.º 3, alínea g) do RGPD), o Subcontratante devolve ou apaga os Dados do Utente. A devolução ou o apagamento é executado mediante instrução documentada do Responsável, aplicando-se o seguinte regime:

• o Subcontratante disponibiliza ao Responsável, durante 30 dias, mecanismos de exportação dos Dados do Utente em formato estruturado, de uso corrente e de leitura automática;
• o Subcontratante não elimina os Dados do Utente por iniciativa própria nem por decurso de qualquer prazo: na ausência de instrução do Responsável, os Dados do Utente permanecem conservados, com acesso restrito, mantendo-se aplicáveis todas as obrigações de segurança e confidencialidade previstas neste DPA;
• recebida a instrução do Responsável, o Subcontratante procede à eliminação dos Dados do Utente no sistema produtivo num prazo máximo de 30 dias, salvo na medida em que a conservação seja exigida pelo direito da União ou nacional;
• os Dados do Utente conservados em backups são objeto de rotação periódica e eliminação progressiva, em linha com o ciclo de rotação dos backups, com acesso restrito e em prazos razoáveis após a eliminação no sistema produtivo;
• quando a eliminação imediata não seja tecnicamente possível, o Subcontratante procede à anonimização irreversível dos dados ou à sua retenção em ambiente restrito até ser viável a eliminação;
• mediante pedido, o Subcontratante fornece ao Responsável declaração escrita de que os Dados do Utente foram devolvidos, eliminados ou anonimizados.

Os dados de faturação relativos à relação contratual entre a Medora e o Responsável são conservados pelo período legalmente exigido (10 anos, nos termos da legislação fiscal aplicável), sendo eliminados após esse período.

14. Transferências internacionais

O Subcontratante procura manter o armazenamento persistente dos Dados do Utente, em particular dos dados clínicos, no Espaço Económico Europeu (EEE). A infraestrutura principal e o armazenamento de documentos clínicos localizam-se atualmente em fornecedores estabelecidos no EEE.

Não obstante, em razão da arquitetura técnica de alguns sub-subcontratantes identificados na cláusula 7, podem ocorrer tratamentos acessórios ou pontuais por entidades estabelecidas fora do EEE, designadamente nos Estados Unidos da América (camada de controlo global de fornecedores, encaminhamento de tráfego, sinalização de videoconsulta, envios transacionais e monitorização técnica). Para essas transferências, são aplicadas as salvaguardas previstas no Capítulo V do RGPD, conforme indicado na cláusula 7:

• Decisão de adequação: Decisão (UE) 2023/1795 da Comissão Europeia, relativa ao EU-U.S. Data Privacy Framework, para os sub-subcontratantes certificados (artigo 45.º do RGPD);
• Cláusulas Contratuais-Tipo (SCC): aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia (artigo 46.º, n.º 2, alínea c) do RGPD);
• Medidas suplementares: encriptação em trânsito e em repouso, minimização de dados, controlos de acesso e, quando aplicável, avaliação de impacto da transferência (TIA).

O Subcontratante informará o Responsável sobre quaisquer alterações relevantes à localização do tratamento ou à salvaguarda aplicável, e disponibilizará, a pedido, cópia das cláusulas contratuais subscritas com cada sub-subcontratante, nos termos da cláusula 12.

15. Responsabilidade

Cada parte é responsável pelo cumprimento das suas obrigações em matéria de proteção de dados pessoais:

• O Subcontratante é responsável pelos danos causados pelo tratamento quando não tiver cumprido as obrigações do RGPD que lhe são especificamente dirigidas ou quando tiver atuado de forma contrária às instruções lícitas do Responsável;
• O Subcontratante não é responsável por danos resultantes do incumprimento, pelo Responsável, das suas obrigações ao abrigo do RGPD, designadamente quanto à base de licitude, à informação aos titulares, à obtenção de consentimentos clínicos ou à resposta a pedidos de exercício de direitos;
• Cada parte indemnizará a outra por quaisquer danos, custos ou despesas resultantes do incumprimento das suas obrigações ao abrigo do presente DPA e da legislação de proteção de dados aplicável.

A responsabilidade do Subcontratante ao abrigo do presente DPA está sujeita aos limites de responsabilidade estabelecidos nos Termos e Condições, sem prejuízo da responsabilidade imperativa decorrente do artigo 82.º do RGPD nos limites por este definidos.

16. Lei aplicável e resolução de litígios

O presente DPA é regido e interpretado nos termos da legislação portuguesa, designadamente:

• Regulamento (UE) 2016/679 — Regulamento Geral sobre a Proteção de Dados (RGPD);
• Lei n.º 58/2019, de 8 de agosto — que assegura a execução, na ordem jurídica nacional, do RGPD;
• demais legislação portuguesa e europeia aplicável em matéria de proteção de dados pessoais.

Para a resolução de quaisquer litígios emergentes do presente DPA será competente o foro da comarca de Lisboa, com renúncia expressa a qualquer outro, sem prejuízo das regras imperativas aplicáveis aos consumidores.

17. Contactos

Para questões relacionadas com o presente DPA ou com o tratamento dos Dados do Utente:

• Ponto de contacto para proteção de dados: suporte@medora.pt
• Suporte: suporte@medora.pt

Com base na escala atual da operação de tratamento, a Medora entende não se encontrar atualmente obrigada à designação de um Encarregado de Proteção de Dados (DPO) ao abrigo do artigo 37.º do RGPD, disponibilizando o ponto de contacto acima para todas as questões relativas ao tratamento de dados pessoais. Esta avaliação encontra-se documentada e é reavaliada periodicamente, designadamente em função do crescimento da operação, do volume de dados de saúde tratados e da introdução de novas funcionalidades.