Acordo de Tratamento de Dados (DPA)

O presente Acordo de Tratamento de Dados ("DPA") é celebrado nos termos do artigo 28.º do Regulamento (UE) 2016/679 (Regulamento Geral sobre a Proteção de Dados — "RGPD"), entre:

• Responsável pelo Tratamento ("Responsável"): o profissional de saúde, clínica, consultório, organização ou outro estabelecimento que contrata os serviços da plataforma Medora e que determina as finalidades e os meios de tratamento dos dados pessoais dos seus utentes ("Dados do Utente").
• Subcontratante ("Subcontratante"): ZEBRA ALGÉBRICA LDA, pessoa coletiva n.º 519189612, com sede na Rua Teófilo Braga 85, 3.º Andar, 2785-122 São Domingos de Rana (doravante "Medora"), que trata Dados do Utente em nome e por conta do Responsável.

Sempre que neste DPA se refere "profissional de saúde", entende-se igualmente a clínica, consultório, organização ou estabelecimento titular da subscrição, consoante o caso.

Âmbito. O presente DPA aplica-se exclusivamente ao tratamento de Dados do Utente realizado pela Medora em nome do Responsável. Não se aplica a tratamentos em que a Medora atua como responsável pelo tratamento (designadamente Dados de Conta, faturação da subscrição, suporte, segurança, website institucional, leads comerciais, cookies de marketing e medição publicitária), os quais se regem pela Política de Privacidade. Os fornecedores utilizados pela Medora apenas nesses tratamentos em que é responsável encontram-se identificados na Política de Privacidade e na Política de Cookies.

O presente DPA constitui parte integrante dos Termos e Condições.

1. Objeto e duração

O presente DPA tem por objeto a definição das condições em que o Subcontratante (Medora) efetua o tratamento dos Dados do Utente em nome do Responsável, no âmbito da utilização da plataforma Medora para gestão da atividade profissional do Responsável.

O tratamento de Dados do Utente pelo Subcontratante tem início na data de registo do Responsável na plataforma e mantém-se durante toda a vigência do contrato de prestação de serviços, cessando nos termos previstos na cláusula 13 do presente acordo.

2. Natureza e finalidade do tratamento

O Subcontratante trata os Dados do Utente exclusivamente para as seguintes finalidades, segundo as instruções documentadas do Responsável e no âmbito da prestação dos serviços da plataforma Medora:

• Gestão de fichas clínicas e registos de utentes;
• Agendamento e gestão de consultas;
• Emissão e partilha de declarações e demais documentos clínicos e administrativos;
• Realização de videoconsultas e, quando o Responsável ligue a gravação, o profissional não a desligue e o utente a aceite em cada consulta, gravação do respetivo áudio e transcrição desse áudio quando a gravação termina, para apoio à documentação clínica;
• Intermediação técnica para emissão de documentos fiscais aos utentes através do sistema de faturação certificado contratado pelo Responsável;
• Gestão de consentimentos informados e formulários;
• Comunicações operacionais com utentes (lembretes, confirmações, alterações);
• Armazenamento e proteção dos Dados do Utente;
• Funcionamento do assistente de inteligência artificial, quando ligado: tratamento das mensagens escritas pelos utilizadores e dos dados administrativos dos utentes necessários a cada pedido (identificação, data de nascimento e dados de agendamento e de pagamento), com exclusão do processo clínico;
• Funcionamento do Scribe de IA, quando o profissional o use numa consulta gravada e transcrita: tratamento da transcrição dessa consulta e do conteúdo que o campo do registo clínico já tenha, para propor ao profissional texto para esse campo, que este revê e pode alterar ou rejeitar antes de guardar.

As operações de tratamento incluem: recolha, registo, organização, estruturação, conservação, adaptação, consulta, utilização, divulgação por transmissão ao Responsável, apagamento e destruição de Dados do Utente.

3. Tipo de dados e categorias de titulares

3.1 Tipos de dados pessoais tratados

• Dados de identificação: nome, data de nascimento, género, número de identificação civil, NIF, número de utente do SNS;
• Dados de contacto: morada, telefone, email;
• Dados de saúde (artigo 9.º do RGPD): antecedentes clínicos, diagnósticos, resultados de exames, alergias, notas clínicas, registos de consultas, informação sobre tratamentos;
• Dados de consultas: agendamentos, histórico e metadados associados (a plataforma nunca grava o vídeo das videoconsultas);
• Gravações de áudio das videoconsultas e respetivas transcrições: só quando o Responsável ligou a gravação, o profissional não a desligou para a consulta e o utente a aceitou; faixas de áudio separadas por participante, o texto da transcrição desse áudio e o registo de cada decisão do utente (texto do aviso apresentado, respetivo hash, endereço IP, user agent, data e hora), nos termos da cláusula 7;
• Dados de faturação dos utentes: NIF, morada de faturação;
• Documentos e anexos: ficheiros carregados pelo Responsável ou pelo utente (relatórios, exames, imagens), declarações e documentos emitidos, consentimentos informados assinados, escalas e questionários preenchidos;
• Dados de acompanhamento: quando aplicável à especialidade, dados antropométricos, planos alimentares e registos de evolução;
• Dados de acesso ao portal do utente: email de acesso, registos de autenticação e preferências de comunicação;
• Dados de representantes legais ou pessoas de contacto: nome, relação com o utente, telemóvel e email; quando o representante é o cliente das faturas do utente, NIF e morada de faturação; quando assina um consentimento em nome do utente, o seu nome e relação ficam registados com o consentimento.

3.2 Categorias de titulares dos dados

• Utentes do profissional, clínica ou organização que utiliza a plataforma Medora;
• Quando aplicável, representantes legais ou pessoas de contacto indicadas pelo utente.

Nota importante: os dados de saúde constituem categorias especiais de dados pessoais nos termos do artigo 9.º do RGPD, sujeitos a proteção reforçada. O seu tratamento é tipicamente efetuado ao abrigo do artigo 9.º, n.º 2, alínea h) do RGPD (prestação de cuidados de saúde e gestão de serviços de saúde), sob responsabilidade de profissional sujeito a sigilo profissional ou a obrigação de confidencialidade equivalente, em conjugação com o artigo 9.º, n.º 3 do RGPD e com o artigo 29.º da Lei n.º 58/2019, de 8 de agosto. A determinação concreta da base de licitude e a obtenção dos consentimentos clínicos exigíveis competem ao Responsável.

4. Obrigações do Subcontratante (Medora)

O Subcontratante compromete-se a:

• Tratamento conforme instruções: tratar os Dados do Utente apenas de acordo com as instruções documentadas do Responsável, incluindo no que respeita a transferências de dados para países terceiros, salvo se obrigado a fazê-lo pelo direito da União ou de um Estado-Membro;
• Confidencialidade: assegurar que todas as pessoas autorizadas a tratar os Dados do Utente assumiram um compromisso de confidencialidade ou estão sujeitas a adequadas obrigações legais de confidencialidade;
• Medidas de segurança: adotar todas as medidas técnicas e organizativas necessárias para garantir um nível de segurança adequado ao risco, conforme detalhado na cláusula 9;
• Sub-subcontratação: não recorrer a outro subcontratante de Dados do Utente sem autorização prévia por escrito, geral ou específica, do Responsável, nos termos da cláusula 7;
• Assistência ao Responsável: prestar assistência ao Responsável através de medidas técnicas e organizativas adequadas, na medida do possível, para que este possa cumprir a sua obrigação de dar resposta aos pedidos de exercício dos direitos dos titulares dos dados, conforme a cláusula 10;
• Notificação de violações de dados: notificar o Responsável, sem demora indevida e, em qualquer caso, no prazo máximo de 48 horas após ter conhecimento, de qualquer violação de Dados do Utente, fornecendo, à medida que estiver disponível, informação sobre a natureza da violação, as categorias e o número aproximado de titulares e registos afetados, as consequências prováveis, as medidas adotadas ou propostas e o ponto de contacto técnico, para que o Responsável possa, na qualidade de responsável pelo tratamento, avaliar e cumprir as suas obrigações de notificação à CNPD e aos titulares dos dados, nos termos dos artigos 33.º e 34.º do RGPD;
• Avaliação de impacto: prestar assistência ao Responsável na realização de avaliações de impacto sobre a proteção de dados (AIPD/DPIA) e na consulta prévia à autoridade de controlo, quando necessário, conforme a cláusula 11;
• Devolução e eliminação: no termo da prestação dos serviços, e de acordo com a escolha do Responsável, devolver ou apagar os Dados do Utente e respetivas cópias, nos termos da cláusula 13;
• Auditorias: disponibilizar ao Responsável todas as informações necessárias para demonstrar o cumprimento das obrigações previstas no artigo 28.º do RGPD e permitir e contribuir para auditorias, conforme a cláusula 12.

5. Obrigações do Responsável

O Responsável compromete-se a:

• Base de licitude: determinar e documentar a base de licitude adequada para o tratamento dos Dados do Utente, designadamente ao abrigo do artigo 9.º, n.º 2, alínea h) do RGPD (em conjugação com o artigo 9.º, n.º 3 do RGPD e o artigo 29.º da Lei n.º 58/2019, de 8 de agosto), distinguindo a base de licitude RGPD do consentimento clínico/informado relativo a atos profissionais;
• Consentimento clínico: obter e gerir os consentimentos clínicos exigíveis ao abrigo da legislação e das normas deontológicas aplicáveis;
• Informação aos titulares: prestar aos titulares as informações exigidas pelos artigos 13.º e 14.º do RGPD;
• Direitos dos titulares: dar resposta aos pedidos de exercício dos direitos dos titulares (acesso, retificação, apagamento, portabilidade, limitação, oposição), podendo solicitar a assistência do Subcontratante;
• Instruções de tratamento: fornecer instruções documentadas ao Subcontratante relativamente ao tratamento dos Dados do Utente, designadamente através das configurações da conta e da Organização;
• Licitude dos dados: garantir que os Dados do Utente introduzidos na plataforma são lícitos, exatos, atualizados e adequados às finalidades, em cumprimento dos princípios da minimização e da limitação das finalidades;
• Notificação de violações: cumprir, na qualidade de responsável pelo tratamento, as suas obrigações de notificação à CNPD e aos titulares dos dados nos prazos previstos nos artigos 33.º e 34.º do RGPD, quando aplicáveis;
• Gravação de áudio das videoconsultas: quando ligue a gravação, assegurar que os profissionais informam o utente sobre a gravação e a sua finalidade antes de a pedirem; a Plataforma apresenta o aviso ao utente e regista a decisão deste em cada consulta;
• AIPD/DPIA: avaliar a necessidade de realização de AIPD nos termos do artigo 35.º do RGPD e adotar as medidas legalmente exigíveis.

6. Instruções documentadas

Constituem instruções documentadas do Responsável: (i) os Termos e Condições e o presente DPA; (ii) as configurações que o Responsável aplica na sua conta e na Organização (designadamente permissões, retenções, integrações ativadas, fluxos de consentimento, modelos de comunicações); (iii) as instruções específicas que o Responsável dirija expressamente ao Subcontratante por escrito (incluindo email) no âmbito da utilização da plataforma.

O Subcontratante informa o Responsável caso considere que uma instrução viola o RGPD ou outra disposição da União ou de Estado-Membro em matéria de proteção de dados.

7. Sub-subcontratantes de Dados do Utente

O Responsável autoriza de forma geral o Subcontratante a recorrer aos seguintes sub-subcontratantes para o tratamento de Dados do Utente, no âmbito das finalidades previstas neste DPA. A lista abaixo inclui apenas fornecedores que podem tratar Dados do Utente por conta do Responsável. Os fornecedores utilizados pela Medora exclusivamente para tratamentos em que atua como responsável (designadamente alojamento do website institucional, leads comerciais, medição publicitária e analytics de marketing) não constam desta lista — vide cláusula 8.

No assistente de inteligência artificial, a utilização da Amazon Web Services EMEA SARL (Amazon Bedrock) depende sempre de o assistente estar ligado, em Organização › Configurações; enquanto o assistente estiver desligado, nenhum Dado do Utente lhe é enviado para o assistente (a gravação de áudio das videoconsultas e o Scribe de IA têm ativação própria, descrita nos parágrafos seguintes). Nas organizações criadas a partir de 16 de outubro de 2026, o assistente vem ligado, e a criação da organização, com a aceitação do presente DPA, constitui autorização específica do Responsável para este sub-subcontratante, nos termos do artigo 28.º, n.º 2, do RGPD; o assistente só pode ser usado com uma subscrição paga, e o administrador da organização pode desligá-lo a qualquer momento, cessando o envio. Nas organizações criadas antes dessa data, o assistente vem desligado, e a sua ativação pelo administrador da organização constitui essa autorização específica, com efeitos imediatos. Enquanto estiver ligado, as mensagens e os dados administrativos necessários a cada pedido são tratados na União Europeia, sem transferência para fora do Espaço Económico Europeu. As conversas com o assistente são conservadas pela Medora, cifradas, durante 30 dias após a última mensagem.

Na gravação de áudio das videoconsultas, a Amazon Web Services EMEA SARL só recebe Dados do Utente quando se verificam três condições: um administrador da organização ligou a gravação em Organização › Configurações; o profissional não desligou a gravação para aquela consulta; e o utente aceitou-a num ecrã próprio, apresentado antes de entrar na chamada, com duas opções do mesmo destaque («Aceito a gravação» e «Entrar sem gravação»). A aceitação do presente DPA constitui a autorização específica do Responsável para este sub-subcontratante quanto às gravações e às respetivas transcrições, nos termos do artigo 28.º, n.º 2, do RGPD, para todos os Responsáveis que o aceitem; ligar a gravação em Organização › Configurações apenas ativa a funcionalidade, e o administrador pode desligá-la a qualquer momento. Durante a chamada, o utente pode parar a gravação com «Parar gravação»: a gravação para e o áudio já gravado nessa consulta é apagado de imediato. O profissional pode desligá-la, também a qualquer momento; nesse caso, o áudio gravado até esse momento segue o prazo de apagamento indicado a seguir. Só é gravado o áudio, em faixas de áudio separadas por participante; o vídeo nunca é gravado. Os ficheiros são guardados cifrados na região eu-west-1 (Irlanda), sem transferência para fora do EEE, não podem ser descarregados nem reproduzidos na Plataforma e são apagados no prazo de 7 dias após o fim da gravação, ou antes, quando os dados do utente são apagados ou anonimizados ou quando a organização é eliminada. Quando a gravação termina, o áudio gravado é transcrito automaticamente pela Amazon Web Services EMEA SARL (Amazon Transcribe), na mesma região, sem transferência para fora do EEE e sem utilização para treino ou melhoria do serviço, para apoiar o profissional no preenchimento do registo da consulta; o ficheiro de resultado é apagado do bucket logo depois de lido. A transcrição é guardada cifrada pela Medora, com a consulta, e segue o ciclo de vida da gravação: é apagada com ela, no prazo de 7 dias ou nas situações acima indicadas, e, se o utente parar a gravação, de imediato, com o áudio. Não pode ser descarregada na Plataforma e nunca é devolvida nem incluída na exportação. O registo de cada decisão do utente (texto do aviso apresentado, respetivo hash, endereço IP, user agent, data e hora) é conservado com a consulta, como prova do consentimento, e apagado com os dados do utente ou com a eliminação da organização. Se a gravação voltar a ser pedida, o utente decide de novo. A Plataforma não permite descarregar nem reproduzir a gravação; enquanto ela existir, o Responsável pode pedir ao Subcontratante, por instrução documentada, uma cópia do ficheiro para responder a um pedido de acesso ou de portabilidade do utente, nos termos da cláusula 10, e o Subcontratante disponibiliza-a ao Responsável dentro do prazo de conservação.

No Scribe de IA, a Amazon Web Services EMEA SARL (Amazon Bedrock) só recebe Dados do Utente quando o profissional carrega em «Gerar a partir da consulta» num campo do registo clínico de uma consulta com transcrição, isto é, de uma consulta gravada com a aceitação do utente nas condições do parágrafo anterior. Nesse momento são enviados ao modelo a transcrição da consulta e o conteúdo que o campo já tenha, e é devolvida uma proposta de texto para esse campo, que o profissional revê e pode alterar ou rejeitar antes de guardar; nada é escrito no registo clínico sem essa ação do profissional. O Scribe de IA não depende de o assistente de inteligência artificial estar ligado: a sua utilização depende apenas de a gravação estar ligada na organização, da aceitação do utente e da ação do profissional em cada campo, e só está disponível com uma subscrição paga. Os pedidos são tratados em regiões da AWS na União Europeia, sem transferência para fora do EEE; o fornecedor não conserva os pedidos nem as respostas, não os usa para treino nem os partilha com o fabricante do modelo. A Medora regista cada pedido (data, utilizador, consulta, campo e tokens consumidos) para faturação e auditoria, sem guardar o conteúdo enviado nem a resposta; o texto que o profissional guarde passa a integrar o registo clínico, com o regime deste. A aceitação do presente DPA constitui a autorização específica do Responsável para este sub-subcontratante quanto ao Scribe de IA, nos termos do artigo 28.º, n.º 2, do RGPD; desligar a gravação em Organização › Configurações impede novas gravações e transcrições e, por isso, novos pedidos ao Scribe de IA.

O Subcontratante obriga-se a informar previamente o Responsável de quaisquer alterações previstas quanto ao aditamento ou substituição de sub-subcontratantes de Dados do Utente, dando ao Responsável a oportunidade de se opor de forma fundamentada a tais alterações.

Caso o Responsável se oponha de forma fundamentada à alteração e não seja possível manter o serviço sem o sub-subcontratante em causa, qualquer das partes pode resolver o contrato com um pré-aviso adicional de 30 dias, aplicando-se o disposto na cláusula 13 quanto à devolução e eliminação dos Dados do Utente.

O Subcontratante assegura que os sub-subcontratantes ficam vinculados às mesmas obrigações de proteção de dados previstas neste DPA, através de contratos escritos nos termos do artigo 28.º, n.º 4, do RGPD.

8. Fornecedores utilizados pela Medora enquanto responsável pelo tratamento

Para fins de transparência e a título informativo, a Medora recorre adicionalmente a outros fornecedores em tratamentos em que atua como responsável pelo tratamento (e não em nome do Responsável). Estes fornecedores não tratam Dados do Utente e o artigo 28.º do RGPD não lhes é aplicável no contexto do presente DPA. Entre outros, e a título exemplificativo:

• Vercel Inc. — alojamento e CDN do website institucional medora.pt;
• Google Ireland Ltd. (Google Ads) — medição de conversões publicitárias no website institucional, apenas com consentimento;
• Meta Platforms Ireland Ltd. (Meta Pixel) — medição da eficácia de campanhas publicitárias no website institucional, apenas com consentimento;
• Fornecedor de análise de utilização (alojado na União Europeia) — análise da utilização do website e da aplicação;
• Stripe Payments Europe, Ltd. — cobrança da subscrição da plataforma ao próprio Responsável.

Os pedidos de apoio enviados na Plataforma (funcionalidade de suporte, reservada a quem utiliza a Medora e nunca acessível aos utentes) não recorrem a qualquer serviço de apoio ao cliente de terceiros. O seu conteúdo é conservado, cifrado, na base de dados da própria Medora, alojada pela Aiven Oy, já identificada na cláusula 7.

A lista atualizada destes fornecedores, com as respetivas finalidades e salvaguardas, consta da Política de Privacidade e da Política de Cookies.

9. Medidas de segurança

O Subcontratante implementa as seguintes medidas técnicas e organizativas para garantir a segurança dos Dados do Utente tratados:

9.1 Medidas técnicas

• Encriptação em trânsito: todas as comunicações são protegidas por TLS (Transport Layer Security);
• Encriptação em repouso: os dados armazenados são encriptados utilizando algoritmos reconhecidos como seguros;
• Controlo de acessos (RBAC): sistema de controlo de acessos baseado em funções, com permissões granulares por funcionalidade e princípio do menor privilégio;
• Autenticação segura: palavras-passe armazenadas com funções de hashing seguras, comprimento mínimo obrigatório e início de sessão alternativo através de conta Google (OpenID Connect); autenticação de dois fatores (TOTP) disponível a todos os utilizadores e que o Responsável pode tornar obrigatória para toda a Organização;
• Registos de auditoria: logging das operações relevantes sobre Dados do Utente (criação, alteração, exportação, descarregamento de documentos e alterações de permissões), com registo de quem, quando e sobre que dados;
• Backups: cópias de segurança automáticas, encriptadas, com procedimentos de recuperação testados, rotação periódica e eliminação progressiva;
• Deteção de violações: sistemas de monitorização e alerta para deteção de acessos não autorizados ou comportamentos anómalos.

9.2 Medidas organizativas

• Práticas de segurança da informação aplicadas ao desenvolvimento e à operação da plataforma;
• Sensibilização interna em proteção de dados e segurança;
• Obrigações de confidencialidade aplicáveis a colaboradores e prestadores de serviços com acesso a Dados do Utente;
• Procedimentos de gestão de incidentes de segurança;
• Revisão periódica das medidas de segurança implementadas e avaliação interna de risco.

10. Assistência ao Responsável

O Subcontratante presta assistência ao Responsável, designadamente, nas seguintes matérias:

• Direitos dos titulares: disponibilização de funcionalidades técnicas que permitam ao Responsável responder a pedidos de acesso, retificação, apagamento, portabilidade, limitação e oposição dos titulares dos dados;
• Notificações de violações: fornecimento de informação detalhada sobre violações de Dados do Utente, incluindo natureza, dados afetados, medidas adotadas e recomendações, para que o Responsável possa cumprir as obrigações de notificação previstas nos artigos 33.º e 34.º do RGPD;
• Consultas prévias: assistência na consulta prévia à CNPD, quando exigida nos termos do artigo 36.º do RGPD.

11. Avaliação de impacto (AIPD/DPIA)

Cabe ao Responsável, na qualidade de responsável pelo tratamento, avaliar a necessidade e realizar a AIPD nos termos do artigo 35.º do RGPD relativamente ao tratamento dos Dados do Utente.

O Subcontratante mantém uma avaliação interna de risco das operações da plataforma e, quando aplicável, AIPD relativa à operação que conduz enquanto responsável pelo tratamento, designadamente em razão da introdução de funcionalidades novas com impacto material em matéria de proteção de dados (incluindo, sempre que aplicável, funcionalidades baseadas em inteligência artificial).

A pedido razoável do Responsável, o Subcontratante disponibiliza a informação necessária para apoiar a AIPD que aquele venha a realizar, sem prejuízo do disposto na cláusula 12.

12. Auditoria

O Subcontratante disponibiliza ao Responsável, mediante pedido razoável e mediante celebração de acordo de confidencialidade específico, a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD, designadamente:

• resposta a questionários de segurança e proteção de dados, em prazo razoável a acordar entre as partes;
• cópia de relatórios de auditoria ou certificações que o Subcontratante venha a obter (quando aplicável);
• cópia das cláusulas contratuais celebradas com sub-subcontratantes, em versão redigida na parte estritamente necessária por razões de confidencialidade.

Auditorias no local podem ser solicitadas pelo Responsável mediante aviso prévio razoável (não inferior a 30 dias), em horário laboral, sem perturbação da operação, no máximo uma vez por ano e a expensas do Responsável, salvo quando a auditoria seja motivada por violação imputável ao Subcontratante. A auditoria pode ser realizada por terceiro independente vinculado a sigilo, sujeito a acordo prévio quanto ao âmbito e à metodologia.

13. Devolução e eliminação de dados

Após o termo do contrato de prestação de serviços, e de acordo com a escolha do Responsável (nos termos do artigo 28.º, n.º 3, alínea g) do RGPD), o Subcontratante devolve ou apaga os Dados do Utente. A devolução ou o apagamento é executado mediante instrução documentada do Responsável, aplicando-se o seguinte regime:

• o Subcontratante disponibiliza ao Responsável, durante 30 dias, mecanismos de exportação dos Dados do Utente em formato estruturado, de uso corrente e de leitura automática;
• o Subcontratante não elimina os Dados do Utente por iniciativa própria nem por decurso de qualquer prazo, salvo as gravações de áudio das videoconsultas e as respetivas transcrições, que nunca são devolvidas nem incluídas na exportação e são apagadas nos termos da cláusula 7 (no prazo de 7 dias, ou de imediato quando o utente para a gravação): na ausência de instrução do Responsável, os Dados do Utente permanecem conservados, com acesso restrito, mantendo-se aplicáveis todas as obrigações de segurança e confidencialidade previstas neste DPA;
• recebida a instrução do Responsável, o Subcontratante procede à eliminação dos Dados do Utente no sistema produtivo num prazo máximo de 30 dias, salvo na medida em que a conservação seja exigida pelo direito da União ou nacional;
• os Dados do Utente conservados em backups são objeto de rotação periódica e eliminação progressiva, em linha com o ciclo de rotação dos backups, com acesso restrito e em prazos razoáveis após a eliminação no sistema produtivo;
• quando a eliminação imediata não seja tecnicamente possível, o Subcontratante procede à anonimização irreversível dos dados ou à sua retenção em ambiente restrito até ser viável a eliminação;
• mediante pedido, o Subcontratante fornece ao Responsável declaração escrita de que os Dados do Utente foram devolvidos, eliminados ou anonimizados.

Os dados de faturação relativos à relação contratual entre a Medora e o Responsável não são Dados do Utente: são tratados pela Medora enquanto responsável pelo tratamento e conservados pelo período legalmente exigido (10 anos, nos termos da legislação fiscal aplicável), conforme a Política de Privacidade.

14. Transferências internacionais

O Subcontratante procura manter o armazenamento persistente dos Dados do Utente, em particular dos dados clínicos, no Espaço Económico Europeu (EEE). A infraestrutura principal e o armazenamento de documentos clínicos localizam-se atualmente em fornecedores estabelecidos no EEE.

Não obstante, em razão da arquitetura técnica de alguns sub-subcontratantes identificados na cláusula 7, podem ocorrer tratamentos acessórios ou pontuais por entidades estabelecidas fora do EEE, designadamente nos Estados Unidos da América (camada de controlo global de fornecedores, encaminhamento de tráfego, envios transacionais e monitorização técnica). Para essas transferências, são aplicadas as salvaguardas previstas no Capítulo V do RGPD, conforme indicado na cláusula 7:

• Decisão de adequação: Decisão (UE) 2023/1795 da Comissão Europeia, relativa ao EU-U.S. Data Privacy Framework, para os sub-subcontratantes certificados (artigo 45.º do RGPD);
• Cláusulas Contratuais-Tipo (SCC): aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão Europeia (artigo 46.º, n.º 2, alínea c) do RGPD);
• Medidas suplementares: encriptação em trânsito e em repouso, minimização de dados, controlos de acesso e, quando aplicável, avaliação de impacto da transferência (TIA).

O assistente de inteligência artificial não implica transferência para fora do EEE: as mensagens escritas pelos utilizadores e os dados administrativos dos utentes necessários a cada pedido são tratados pela Amazon Web Services EMEA SARL em regiões da AWS na União Europeia. O assistente nunca envia o processo clínico. O Scribe de IA também não implica transferência para fora do EEE: a transcrição da consulta e o conteúdo do campo são tratados pela mesma entidade, em regiões da AWS na União Europeia.

A videoconsulta também não implica transferência para fora do EEE: o vídeo e o áudio em tempo real passam pelo servidor de videoconsulta da Medora, alojado pela Hetzner Online GmbH em Nuremberga, na Alemanha, e as gravações de áudio, quando o utente as aceite, são guardadas pela Amazon Web Services EMEA SARL na região eu-west-1 (Irlanda), onde são também transcritas (Amazon Transcribe), sem transferência para fora do EEE.

O Subcontratante informará o Responsável sobre quaisquer alterações relevantes à localização do tratamento ou à salvaguarda aplicável, e disponibilizará, a pedido, cópia das cláusulas contratuais subscritas com cada sub-subcontratante, nos termos da cláusula 12.

15. Responsabilidade

Cada parte é responsável pelo cumprimento das suas obrigações em matéria de proteção de dados pessoais:

• O Subcontratante é responsável pelos danos causados pelo tratamento quando não tiver cumprido as obrigações do RGPD que lhe são especificamente dirigidas ou quando tiver atuado de forma contrária às instruções lícitas do Responsável;
• O Subcontratante não é responsável por danos resultantes do incumprimento, pelo Responsável, das suas obrigações ao abrigo do RGPD, designadamente quanto à base de licitude, à informação aos titulares, à obtenção de consentimentos clínicos ou à resposta a pedidos de exercício de direitos;
• Cada parte indemnizará a outra por quaisquer danos, custos ou despesas resultantes do incumprimento das suas obrigações ao abrigo do presente DPA e da legislação de proteção de dados aplicável.

A responsabilidade do Subcontratante ao abrigo do presente DPA está sujeita aos limites de responsabilidade estabelecidos nos Termos e Condições, sem prejuízo da responsabilidade imperativa decorrente do artigo 82.º do RGPD nos limites por este definidos.

16. Lei aplicável e resolução de litígios

O presente DPA é regido e interpretado nos termos da legislação portuguesa, designadamente:

• Regulamento (UE) 2016/679 — Regulamento Geral sobre a Proteção de Dados (RGPD);
• Lei n.º 58/2019, de 8 de agosto — que assegura a execução, na ordem jurídica nacional, do RGPD;
• demais legislação portuguesa e europeia aplicável em matéria de proteção de dados pessoais.

Para a resolução de quaisquer litígios emergentes do presente DPA será competente o foro da comarca de Lisboa, com renúncia expressa a qualquer outro, sem prejuízo das regras imperativas aplicáveis aos consumidores.

17. Contactos

Para questões relacionadas com o presente DPA ou com o tratamento dos Dados do Utente:

• Ponto de contacto para proteção de dados: suporte@medora.pt
• Suporte: suporte@medora.pt

Com base na escala atual da operação de tratamento, a Medora entende não se encontrar atualmente obrigada à designação de um Encarregado de Proteção de Dados (DPO) ao abrigo do artigo 37.º do RGPD, disponibilizando o ponto de contacto acima para todas as questões relativas ao tratamento de dados pessoais. Esta avaliação encontra-se documentada e é reavaliada periodicamente, designadamente em função do crescimento da operação, do volume de dados de saúde tratados e da introdução de novas funcionalidades.