Acordo de Tratamento de Dados (art. 28.º do RGPD)

Este acordo abrange a área de trabalho do produto: os clientes, marcações, notas, questionários, documentos e mensagens que mantém sobre as pessoas que acompanha. Não abrange o seu perfil público no diretório nem um pedido de informação que alguém envie antes de se tornar seu cliente; aí, a Vitena atua como responsável pelo tratamento por direito próprio, conforme explicado na página de proteção de dados.

1. Partes e funções

Quem detém a conta Vitena, seja o profissional ou o consultório, é o responsável pelo tratamento na aceção do art. 4.º, ponto 7, do RGPD. A Vitena é o seu subcontratante na aceção do ponto 8 do mesmo artigo e trata dados pessoais apenas por sua conta e apenas para prestar o serviço. A Vitena não trata os seus dados clínicos para fins próprios, não os vende, não os partilha com outros profissionais da plataforma e não os utiliza para treinar modelos de IA.

2. Objeto, natureza, finalidade e duração

Objeto e finalidade: explorar, por sua conta, uma plataforma de gestão de consultório e de comunicação com clientes. Natureza do tratamento: recolha, conservação, organização, consulta, apresentação, transmissão, cópia de segurança, apagamento. Duração: enquanto a sua conta existir, acrescida dos prazos de apagamento previstos na cláusula 10.

3. Categorias de titulares e de dados pessoais

Titulares dos dados: os seus clientes ou pacientes, as pessoas que lhe pedem informações ou fazem marcações consigo e os membros da sua própria equipa que utilizam a conta.

• Dados de identificação e de contacto: nome, endereço de e-mail, número de telefone, data de nascimento
• Registos de marcações e de serviços prestados, estado de pagamento e faturas
• Dados de saúde (art. 9.º do RGPD): respostas a questionários, medições, notas de sessão, planos, registos de consentimento, documentos e imagens carregados e qualquer resumo pessoal que prepare
• Mensagens trocadas através da plataforma e do portal do cliente
• Dados técnicos necessários ao funcionamento do serviço: registos de atividade, endereço IP, informações sobre o dispositivo e o navegador

A Vitena foi concebida partindo do princípio de que estarão presentes dados de saúde de categoria especial. Cabe-lhe, enquanto responsável pelo tratamento, estabelecer o respetivo fundamento de licitude, normalmente o art. 9.º, n.º 2, alínea h), em conjunto com as regras profissionais do seu país. As obrigações deste acordo aplicam-se a todas as categorias acima, incluindo notas em texto livre, notas privadas internas e ficheiros que carregue, e não apenas aos campos estruturados dos questionários.

4. Tratamento segundo as suas instruções

A Vitena trata dados pessoais apenas mediante as suas instruções documentadas. As suas instruções são: este acordo, os Termos de Serviço, as definições que escolhe no produto e as ações que nele realiza. A Vitena dar-lhe-á conhecimento caso considere que uma instrução viola o RGPD. Se o direito da União ou de um Estado-Membro obrigar a Vitena a tratar dados para além das suas instruções, receberá essa informação antes do tratamento, salvo se esse direito o proibir.

As funcionalidades de IA são uma instrução que dá, uma ação de cada vez. Nenhum fornecedor de IA recebe conteúdo dos clientes a menos que inicie deliberadamente uma ação de IA: redigir um plano, redigir uma nota ou ler um documento que anexou. Se nunca utilizar essas funcionalidades, nenhum dado de clientes chega alguma vez a um fornecedor de IA. Nenhum fornecedor de IA enumerado no Anexo B treina modelos com conteúdo enviado através da respetiva API.

5. Confidencialidade

Todas as pessoas do lado da Vitena que possam aceder a dados pessoais estão vinculadas a um dever de confidencialidade que subsiste após o fim da sua colaboração, e só têm acesso na medida necessária para operar, apoiar e proteger o serviço.

6. Segurança do tratamento (art. 32.º)

A Vitena mantém medidas técnicas e organizativas adequadas, descritas na íntegra no Anexo A. As medidas podem ser alteradas à medida que a tecnologia evolui, desde que o nível de proteção não seja reduzido.

7. Subcontratantes ulteriores

Concede à Vitena uma autorização geral para recorrer aos subcontratantes ulteriores enumerados no Anexo B. A Vitena impõe a cada um deles obrigações de proteção de dados não menos protetoras do que as deste acordo e continua a ser plenamente responsável perante si pelo seu cumprimento. Antes de acrescentar ou substituir um subcontratante ulterior, a Vitena dá-lhe um pré-aviso de, pelo menos, 15 dias, para que possa opor-se; se se opuser por motivos razoáveis de proteção de dados e não for encontrada uma solução, pode pôr termo ao serviço afetado.

8. Ajuda para responder aos seus clientes

A Vitena presta-lhe assistência, na medida do possível, para responder aos pedidos dos titulares dos dados que exerçam os seus direitos ao abrigo do Capítulo III do RGPD: acesso, retificação, apagamento, limitação, portabilidade e oposição. A maior parte pode realizá-la diretamente no produto; quando não for possível, a Vitena ajuda mediante pedido. Se um titular dos dados contactar diretamente a Vitena sobre dados da sua área de trabalho, a Vitena não responde em seu nome, mas encaminha-o para si.

9. Violações de dados e assistência quanto aos artigos 32.º a 36.º

A Vitena envia-lhe uma notificação sem demora injustificada depois de tomar conhecimento de uma violação de dados pessoais que afete os seus dados, com a informação de que precisa para a sua própria notificação nos termos do art. 33.º: o que aconteceu, que categorias e aproximadamente quantos registos são afetados, as consequências prováveis e as medidas tomadas. A Vitena presta-lhe ainda assistência, tendo em conta a natureza do tratamento e a informação de que dispõe, no cumprimento das obrigações previstas nos artigos 32.º a 36.º, incluindo uma avaliação de impacto sobre a proteção de dados quando dela necessitar.

10. Apagamento e devolução dos dados

Enquanto a conta estiver ativa, pode exportar os seus dados a qualquer momento e apagar pessoalmente registos individuais. Quando o contrato termina, a Vitena apaga os dados pessoais que trata por sua conta, salvo se o direito da União ou de um Estado-Membro exigir a sua conservação. O apagamento dos sistemas em produção ocorre no prazo de 30 dias após o termo do contrato. As cópias de segurança são mantidas numa janela rotativa e substituídas no decurso normal da operação, pelo que um registo apagado desaparece das cópias de segurança, o mais tardar, dentro dessa janela; o prazo de conservação em vigor consta do Anexo A. As cópias de segurança nunca são utilizadas para restaurar dados que tenha apagado deliberadamente.

11. Direitos de informação e de auditoria

A Vitena disponibiliza-lhe todas as informações necessárias para demonstrar o cumprimento do art. 28.º e permite e contribui para auditorias, incluindo inspeções, conduzidas por si ou por um auditor por si mandatado. Em primeiro lugar, esta obrigação é cumprida através do presente documento, do Anexo A e do Anexo B. Para além disso, pode colocar questões concretas por escrito, a que a Vitena responderá; pode ser pedida uma inspeção no local quando um motivo documentado a torne necessária, com pré-aviso razoável, durante o horário de expediente, sem perturbar a operação e sob reserva de confidencialidade.

12. Local de tratamento dos dados e transferências para fora do EEE

Os dados da sua área de trabalho são armazenados na União Europeia, na região de Frankfurt da AWS (eu-central-1). Existem duas transferências para fora do EEE, e ambas são aqui identificadas em vez de ficarem por deduzir. Primeiro, os fornecedores de IA enumerados no Anexo B que estão sediados fora do EEE (o Anexo B indica a localização de cada um) só recebem conteúdo quando inicia deliberadamente uma ação de IA. Segundo, a empresa que opera a Vitena está estabelecida na Türkiye e o seu operador pode aceder aos sistemas de produção para assegurar o funcionamento do serviço. Ambas assentam nas Cláusulas Contratuais-Tipo da Comissão Europeia; a segunda é descrita na íntegra, juntamente com a avaliação que a fundamenta, no Anexo C.

13. Vigência, alterações e prevalência

Este acordo vigora enquanto a sua conta Vitena existir. Se for alterado, a nova versão é aqui publicada com um novo número de versão e uma nova data de entrada em vigor, e receberá uma notificação antes de esta produzir efeitos. As aceitações já dadas continuam associadas à versão em vigor no momento em que foram dadas. Em caso de conflito entre este acordo e os Termos de Serviço numa questão de proteção de dados, prevalece este acordo.

Anexo A: Medidas técnicas e organizativas (art. 32.º)

Descreve-se o que está implementado, não o que se pretende. Uma medida que não esteja em vigor não é aqui listada.

Aqui, a proteção assenta em várias camadas e não depende de um único controlo. Cada consultório está isolado de todos os outros; o acesso dentro de um consultório é limitado por função; tudo o que está em trânsito é cifrado; os ficheiros e documentos são cifrados onde estão armazenados; a base de dados não é acessível a partir da internet; e cada alteração ao sistema em funcionamento passa por um processo automatizado e revisto. Uma fragilidade numa camada não abre o registo, porque a camada seguinte ainda tem de ser ultrapassada.

Controlo de acesso e separação

• Os registos de cada consultório são mantidos separadamente dos de qualquer outro consultório, e um pedido feito com as credenciais de uma conta não consegue chegar aos dados de outra conta; quando a camada de dados não consegue atribuir um pedido a exatamente um consultório, recusa o pedido em vez de recorrer a uma vista partilhada
• Permissões baseadas em funções dentro da conta, para que um assistente não veja automaticamente conteúdo clínico
• As notas privadas são guardadas num campo separado que nunca é enviado para o portal do cliente
• As palavras-passe são guardadas apenas como hashes unidirecionais com salt, através de um algoritmo de hashing de palavras-passe consolidado (bcrypt), nunca de forma legível; é aplicada uma política de comprimento mínimo e de complexidade
• As sessões utilizam tokens assinados de curta duração; as ligações para o portal e para os questionários têm uma única finalidade, expiram e podem ser revogadas através da emissão de novas ligações
• Está disponível autenticação de dois fatores (TOTP, RFC 6238) para o início de sessão do próprio profissional, ativada por utilizador nas definições da conta e complementada por códigos de recuperação de utilização única; o início de sessão através de uma conta Google com verificação em dois passos é o segundo fator alternativo

Transmissão e armazenamento

• Todo o tráfego entre o navegador, a aplicação móvel e os servidores é cifrado com TLS; o HTTP simples é redirecionado
• Os ficheiros e documentos carregados são guardados em armazenamento de objetos na UE, com cifragem do lado do servidor em repouso (AES-256) e sem acesso público; só são disponibilizados através de ligações assinadas de curta duração
• A base de dados não é acessível a partir da internet: não tem endereço público e só aceita ligações da própria aplicação
• Os segredos e as chaves de API são guardados num armazenamento gerido de parâmetros, nunca no código-fonte
• As notificações por e-mail são redigidas de forma a anunciar que algo está disponível, sem nunca incluírem conteúdo clínico no corpo da mensagem

Disponibilidade e resiliência

• Cópias de segurança diárias e automáticas da base de dados, com recuperação para um momento específico, conservadas durante 7 dias e depois substituídas
• Proteção contra eliminação na base de dados, para que não possa ser removida por uma alteração de infraestrutura
• Alojamento gerido e com escalamento automático, com monitorização e alertas sobre taxas de erro e limites de recursos

Medidas organizativas

• O acesso aos sistemas de produção está limitado às pessoas que os operam, sujeitas a uma obrigação de confidencialidade
• As alterações chegam à produção através de um processo de implementação automatizado e revisto, e não manualmente no servidor
• A atividade numa conta é registada, para que seja possível reconstituir quem fez o quê e quando
• A exportação de dados e a eliminação da conta estão ao seu dispor no produto, sem ter de pedir ao apoio ao cliente

Dito com clareza: o que não existe

A Vitena não detém certificação ISO 27001 nem SOC 2, nem afirma detê-la. Não é um business associate na aceção da HIPAA nem oferece um BAA, porque não serve o mercado de saúde dos Estados Unidos. Também não existe um relatório formal de testes de intrusão para entregar: a segurança é revista como parte da forma como o produto é desenvolvido e operado, e não certificada por terceiros.

Anexo B: Subcontratantes ulteriores autorizados

A lista atual, com a finalidade para que cada um é utilizado e o local onde trata os dados, é publicada e mantida atualizada na página de proteção de dados. Faz parte deste acordo por remissão, de modo que uma alteração da lista não exige uma nova versão do contrato e, ainda assim, lhe chega como aviso nos termos da cláusula 7.

Anexo C: Acesso a partir da Türkiye e transferências para fora do EEE

Os dados da sua área de trabalho são armazenados na União Europeia, na região de Frankfurt da AWS, e aí permanecem; não é mantida nenhuma cópia na Türkiye. A Vitena é operada por um empresário em nome individual registado na Türkiye, e o funcionamento do serviço exige que o seu operador possa aceder aos sistemas de produção: para implementar alterações, investigar uma falha que comunique, restaurar uma cópia de segurança ou responder a uma questão de apoio. Esse acesso é remoto, é exercido por uma pessoa identificada e pode ser exercido a partir da Türkiye. Como o operador está estabelecido fora do EEE, disponibilizar-lhe dados constitui uma transferência nos termos do Capítulo V do RGPD, ainda que os próprios dados nunca saiam de Frankfurt. Este anexo é a garantia dessa transferência, declarada abertamente em vez de ficar por deduzir a partir da morada da empresa.

O que este acesso não é: não é acesso por outros consultórios, cujos registos estão separados na camada de dados; não é leitura rotineira de conteúdo clínico, que não acontece no âmbito do funcionamento do serviço; e não é acesso por funcionários, porque hoje mais ninguém tem acesso à produção. Se isso mudar, a cláusula 5 e o Anexo A aplicam-se-lhes da mesma forma.

A garantia: Cláusulas Contratuais-Tipo

A transferência assenta nas Cláusulas Contratuais-Tipo da Comissão Europeia, adotadas pela Decisão de Execução (UE) 2021/914, Módulo Dois (de responsável pelo tratamento para subcontratante). Essas Cláusulas são incorporadas neste acordo por remissão e celebradas entre si, enquanto exportador de dados, e a Vitena, enquanto importador de dados, da mesma forma que o resto deste acordo. Quando as Cláusulas e este acordo disponham de forma diferente sobre uma transferência, prevalecem as Cláusulas.

As opções que as Cláusulas deixam em aberto ficam definidas da seguinte forma: aplica-se a cláusula de adesão (Cláusula 7); os subcontratantes ulteriores ficam abrangidos pela Opção 2, autorização geral por escrito, com um pré-aviso mínimo de 15 dias antes de um ser acrescentado ou substituído; não é selecionado o mecanismo facultativo de resolução independente de litígios da Cláusula 11; e tanto a lei aplicável como o foro são os do Estado-Membro do seu estabelecimento.

Os Anexos das Cláusulas são preenchidos a partir deste acordo, em vez de o repetirem: as partes são o titular da conta, enquanto responsável pelo tratamento, e a Vitena, enquanto subcontratante, com o endereço indicado nos Termos; a descrição da transferência (titulares dos dados, categorias de dados pessoais, incluindo dados de saúde do art. 9.º, finalidade, natureza e duração) é a das cláusulas 2 e 3, com disponibilidade contínua mas acesso efetivo apenas ocasional, e os prazos de conservação da cláusula 10; a autoridade de controlo competente é a do Estado-Membro do seu estabelecimento; as medidas técnicas e organizativas são as do Anexo A, juntamente com as medidas abaixo; e a lista de subcontratantes ulteriores é o Anexo B.

A avaliação que a fundamenta

A Türkiye tem uma lei geral de proteção de dados, a Lei n.º 6698 (KVKK), inspirada na anterior Diretiva 95/46/CE da UE, uma autoridade independente e deveres legais de segurança e de notificação de violações. A Türkiye não consta da lista de decisões de adequação da Comissão Europeia, pelo que isto não dispensa as Cláusulas; mas é relevante para avaliar a probabilidade e os limites de um pedido de uma autoridade pública.

Uma autoridade turca pode dirigir uma ordem legal a uma empresa estabelecida na Türkiye. O que poderia ser entregue está limitado ao que o operador consegue alcançar: dados mantidos na UE em infraestrutura da AWS, acessíveis apenas através da aplicação de produção e das respetivas interfaces de administração. Não existe nenhuma cópia local, nenhuma cópia de segurança local nem nenhum serviço orientado para a Türkiye construído sobre os seus dados. Até à data, a Vitena não recebeu nenhum pedido de dados de clientes de qualquer autoridade pública, na Türkiye ou noutro país.

Medidas suplementares em vigor atualmente:

• O armazenamento permanece na União Europeia ao abrigo de um contrato com a AWS EMEA, e o operador não guarda cópias locais
• O acesso administrativo está limitado a uma pessoa identificada, sujeita a um dever de confidencialidade
• A base de dados não tem endereço público e só aceita ligações da própria aplicação
• As consultas administrativas ao ambiente de produção são registadas com data e hora, para que o acesso administrativo possa ser reconstituído posteriormente
• O início de sessão do titular da conta na nuvem está protegido por autenticação de dois fatores
• O tráfego é cifrado em trânsito, os ficheiros carregados são cifrados em repouso, e os segredos e chaves são guardados num armazenamento gerido de parâmetros

Se alguma vez chegar um pedido vinculativo, a Vitena dar-lhe-á conhecimento do mesmo, salvo se a lei o proibir, e, nesse caso, procurará obter o levantamento da proibição; contestará um pedido que pareça ilegal ou excessivo, incluindo em sede de recurso; não divulgará mais do que o mínimo exigido; e manterá um registo de qualquer pedido recebido, que colocará à sua disposição.

Com as Cláusulas em vigor e as medidas acima, o nível de proteção dos dados disponibilizados a partir da Türkiye não fica, na prática, comprometido. Esta avaliação é revista se a estrutura de operação mudar, se a lei aplicável sofrer alterações significativas ou, o mais tardar, quando for publicada uma nova versão deste acordo.

Questões ou uma cópia para os seus arquivos

Escreva para info@vitena.care indicando o nome com que exerce e o país onde trabalha. Não tem qualquer custo, e este acordo aplica-se tanto no plano gratuito como nos planos pagos.

Relacionado: proteção de dados, alojamento e subcontratantes · RGPD e os direitos dos seus clientes · Termos de Serviço · Política de Privacidade