Idioma vinculativo: espanhol
A versão em espanhol é o único texto juridicamente vinculativo. Esta página é apresentada no idioma da sua interface apenas como tradução de cortesia. Em caso de conflito, prevalece o texto em espanhol.
Documento vinculativo em espanhol. Esta visualização é uma tradução de cortesia; em caso de discrepância, prevalece o espanhol.
RGPD (UE) 2016/679 e LOPDGDD 3/2018. Versão:versão — atualização::data
Este documento refere-se ao serviço SynkroBurn (doravante, o «Titular» ou a «Plataforma»). O prestador do serviço é a pessoa singular em nome individual cuja identificação completa figura apenas no Aviso Legal, nos termos da LSSI-CE. Contacto operativo: [email protected]. Encarregado de Proteção de Dados: [email protected]. DIZERES LEGAIS.
Para cumprir o RGPD, as funções são delimitadas de acordo com a titularidade dos dados:
O Titular designou um Encarregado da Proteção de Dados (EPD) de forma voluntária (Art. 37.4 RGPD e Art. 34 LOPDGDD), nos termos dos artigos 37 a 39 do Regulamento (UE) 2016/679 e dos artigos 34 e seguintes da Lei Orgânica 3/2018. Os dados de contacto do EPD são publicados por meios eletrónicos em cumprimento do artigo 37.7 do RGPD.
O EPD é o ponto de contacto do Titular tanto quando este atua como Responsável pelo tratamento (dados de profissionais, clínicas, pessoal autorizado e visitantes do website público) como quando atua como Subcontratante (dados de pacientes alojados por conta de cada Centro). O EPD não receberá instruções relativamente ao exercício das suas funções (Art. 38.3 RGPD).
Os titulares dos dados cujos dados de saúde ou outros dados clínicos sejam tratados por um Centro/Profissional deverão exercer preferencialmente os seus direitos ARCO-POL perante esse Centro, que é o responsável pelo tratamento. O DPO do subcontratante poderá receber consultas ou comunicações relativas ao cumprimento do encargo e tratá-las-á ou reencaminhá-las-á nos termos dos artigos 38 e 39 do RGPD, sem que tal implique que o Titular assuma a condição de responsável pelo tratamento perante o paciente nem resolva o mérito do processo clínico.
Qualquer titular dos dados, incluindo profissionais, pessoal de clínicas e visitantes, poderá dirigir-se ao EPD através do endereço indicado para questões relativas ao tratamento de dados pessoais efetuado pelo Titular, à aplicação do RGPD ou da LOPDGDD, ou à cooperação com a autoridade de controlo. A designação e os dados de contacto são igualmente comunicados à Agência Espanhola de Proteção de Dados.
O canal [email protected] fica reservado a matérias de proteção de dados. As incidências de produto, faturação ou suporte operacional devem ser dirigidas ao email de contacto do Titular indicado no Aviso Legal, sem prejuízo de o EPD poder reencaminhar internamente as comunicações que receba fora do seu âmbito.
B2B Execução do contrato, interesse legítimo na segurança e melhoria do serviço, e obrigações legais (facturação, preservação comercial).
Pacientes (sob responsabilidade do Profissional): O Profissional deve dispor de base válida: consentimento explícito para dados de saúde (Art. 9 RGPD), execução de prestação sanitária/desportiva, ou a que corresponda na sua jurisdição. O acesso do Subcontratante descrito na secção 4 bis baseia-se nas instruções do Responsável e na necessidade de prestar, assegurar e melhorar o serviço SaaS contratado.
As categorias cobertas na Plataforma podem incluir:dados de identificação, contato, saúde e hábitos, medidas corporais, imagens, histórico de namoro, comunicações e metadados de acesso técnico.
Origem: os dados B2B provêm do próprio titular dos dados ou da sua organização ao registar-se, contratar ou utilizar o serviço; os dados de pacientes são introduzidos pelo Centro ou pelo próprio Utilizador do Portal. O Titular não elabora perfis comerciais de pacientes nem adquire bases de dados de terceiros com essa finalidade.
Caráter necessário: a disponibilização dos dados identificativos e de faturação do Profissional é necessária para celebrar e executar o contrato SaaS. A recusa impedirá o registo ou a manutenção do serviço. Os dados de pacientes são necessários para as funcionalidades clínicas que o Centro ative; a sua omissão pode limitar essas funcionalidades, sob responsabilidade do Centro.
A aceitação juntamente com os Termos constitui o contrato de comissão entre o Responsável (Profissional) e o Processador (Proprietário).
O Responsável INSTRUI DOCUMENTADAMENTE o Subcontratante para que o seu pessoal autorizado, através de contas de administração privilegiada (incluindo a função super_admin ou equivalente), possa aceder a qualquer espaço do tenant do Responsável na Plataforma —incluindo a reprodução da visão que teria um utilizador profissional, proprietário ou paciente do tenant— com as seguintes finalidades do subcontrato:
Estas instruções fazem parte do contrato de subcontratação (Art. 28.3 RGPD). O acesso não requer autorização pontual adicional do Responsável. O Subcontratante aplicará minimização, confidencialidade e registo de auditoria de acessos privilegiados a ambientes de clínicas.
Sempre que razoavelmente possível, o Subcontratante dará prioridade a dados agregados, anonimizados ou pseudonimizados para análise de produto. O tratamento identificável fica autorizado quando seja necessário para as finalidades anteriores.
O Responsável garante que a sua informação a pacientes/titulares dos dados é compatível com esta secção. A falta dessa informação não torna ilícito o acesso autorizado do Subcontratante perante o Responsável, sem prejuízo dos poderes da autoridade de controlo relativamente ao Responsável.
O Subcontratante utiliza fornecedores especializados (sub-subcontratantes) com medidas de segurança adequadas ao risco. Os dados são alojados preferencialmente no Espaço Económico Europeu. A lista seguinte constitui a autorização geral do Responsável (Art. 28.2 RGPD).
Se for necessaria uma transferencia internacional para fora do EEE, esta basear-se-a numa decisao de adequacao, em clausulas contratuais-tipo (CCT) adotadas pela Comissao Europeia, ou noutros mecanismos do Capitulo V do RGPD, complementados, quando aplicavel, com medidas adicionais.
| Gerente Adjunto | Propósito | Localização/garantias |
|---|---|---|
| Listra | Processamento de pagamentos da subscrição SaaS (PCI-DSS). Não armazena históricos clínicos. | UE / EEE (CCT quando aplicavel) |
| Proveedor SMTP | Envio de emails operacionais do sistema (verificação, faturas, avisos). Se a clínica configurar SMTP próprio, esse fornecedor fica sob a sua responsabilidade. | UE / EEE (CCT quando aplicavel) |
| Proveedor cloud VPS | Alojamento da aplicação, bases de dados e registos técnicos em servidor virtual (VPS). | EEE (Alemanha, salvo alteração comunicada) |
| Cloudflare | DNS, rede de distribuição e proteção perimetral (disponibilidade e mitigação de abusos). Pode tratar endereços IP e cookies técnicas de segurança. | EEE / transferências com CCT quando aplicável |
| Fornecedor de cópias de segurança cifradas | Cópias de segurança cifradas fora do servidor de produção. | EEE / transferências com CCT quando aplicável |
Alguns subcontratantes são indicados com uma etiqueta funcional (correio, alojamento, cópias de segurança) para minimização da exposição pública. A identidade societária exata e os correspondentes acordos de subcontratação (DPA) são conservados pelo Subcontratante e ficam à disposição do Responsável pelo Tratamento e da autoridade de controlo mediante pedido fundamentado. Stripe e Cloudflare são identificados pelo nome por serem componentes visíveis da cobrança e da proteção perimetral.
As alterações substanciais de subcontratantes serão comunicadas com uma antecedência mínima de quinze (15) dias de calendário, salvo urgência de segurança ou imposição legal, para que o responsável pelo tratamento possa opor-se nos termos do Art. 28 RGPD.
Integrações na conta do Profissional (não são subcontratantes com DPA SynkroBurn↔fornecedor; não constam da tabela anterior):
A geração dos planos nutricionais e de treinamento é executada por meio de motor algorítmico próprio hospedado na infraestrutura da Plataforma, baseado em regras clínicas parametrizadas e catálogos internos.
No serviço de produção, NENHUM dado identificável ou clínico do paciente é transmitido a provedores de processamento externos. Todo o processamento de dados de saúde para operações SaaS permanece no ambiente do Processador sob as instruções do Profissional.
O Profissional deve revisar e validar clinicamente os resultados antes de prescrevê-los (sistema de apoio à decisão — SAD, não um dispositivo médico).
Medidas do Art. 32 RGPD, entre outras: cifragem TLS em trânsito; hash de palavras-passe; controlo de acesso por papéis; segregação multi-tenant; cópias de segurança cifradas; registo de atividade técnica; registo de acessos privilegiados do pessoal do subcontratante a ambientes de clínicas; procedimentos de resposta a incidentes.
O nível de segurança é proporcional ao risco do processamento de dados de saúde num ambiente de nuvem B2B.
Caso se confirme uma violação que afete os dados tratados como Processador, o Proprietário notificará o Profissional afetado sem demora injustificada (meta de 48 a 72 horas a partir da confirmação), com informações disponíveis para que o Controlador cumpra seu dever de notificação à AEPD (Art. 33) e comunicação ao interessado (Art. 34) quando for o caso.
O Proprietário não se responsabiliza por violações causadas ou agravadas por negligência do Cliente ou de seus usuários (senhas fracas, malware local, phishing, credenciais compartilhadas).
O acesso privilegiado autorizado nos termos da secção 4 bis não constitui, por si só, uma violação de segurança nem uma violação de dados pessoais.
Doentes: Devem dirigir-se ao Profissional responsável. Se o Titular ou o seu EPD receberem um pedido direto relativo a dados de pacientes, reencaminhá-lo-ão ao Profissional sem resolver o fundo do processo clínico, salvo obrigação legal distinta. O Portal do paciente inclui mecanismos de pedido e o «Aviso ao Utilizador do Portal do Paciente», que informa sobre papéis, natureza não sanitária do software, acesso privilegiado do subcontratante e dados de contacto do EPD.
Profissionais e demais titulares dos dados cujos dados são tratados pelo Titular como responsável pelo tratamento: Poderão exercer os direitos de acesso, retificação, apagamento, oposição, limitação, portabilidade e, quando a base seja o consentimento, a sua retirada, dirigindo-se a [email protected] ou a [email protected], ou através das opções do painel de configuração quando estiverem ativadas. A retirada do consentimento não afeta a licitude do tratamento anterior.
O titular dos dados tem o direito de não ficar sujeito a uma decisão baseada exclusivamente no tratamento automatizado, incluindo a definição de perfis, que produza efeitos jurídicos a seu respeito ou que o afete significativamente de forma similar (Art. 22 RGPD), nos termos da secção 11.
Reclamação perante a autoridade de controlo: Agência Espanhola de Proteção de Dados (AEPD), www.aepd.es — C/ Jorge Juan, 6, 28001 Madrid. O titular dos dados pode igualmente dirigir-se ao DPO do Titular antes ou juntamente com essa reclamação.
Os relatórios, tabelas metabólicas e prescrições preliminares constituem suporte à decisão profissional (SAD) e não constituem decisões automatizadas com efeitos jurídicos equivalentes a um diagnóstico (art. 22.º do RGPD).
O Profissional informa o paciente quando apropriado e valida humanamente antes de ativar os planos.
O envio de email operacional do sistema utiliza o sub-subcontratante de email transacional do Subcontratante indicado na secção 5. Se o Profissional configurar SMTP próprio, esse fornecedor fica sob a sua responsabilidade.
WhatsApp Business API: a clinica fornece e mantem as suas proprias credenciais Meta (WABA). A SynkroBurn nao assina um DPA com a Meta para este canal; a relacao contratual Meta↔clinica cabe ao Profissional, que e responsavel pelo conteudo, legitimacao e registos das comunicacoes comerciais dirigidas aos seus pacientes.
Falhas na entrega, bloqueios de operadoras ou alterações em APIs de terceiros não eximem o Controlador de informar adequadamente seus pacientes por outros meios quando necessário.
As fotografias ou documentos carregados pelo Profissional ou pelo Utilizador são armazenados na infraestrutura do subcontratante com as medidas de segurança aplicáveis. O responsável pelo tratamento deve dispor de base legitimadora e, quando aplicável, de consentimento específico do titular dos dados para imagens de evolução corporal ou outras especialmente sensíveis. O Portal pode recolher esse consentimento de forma diferenciada; tal não dispensa o responsável pelo tratamento de completar a informação e o registo que lhe correspondam.
O Titular pode enviar ao Profissional comunicações sobre o serviço SaaS (faturação, novidades, segurança, avisos de descontinuação do serviço) com base contratual ou interesse legítimo. Não é realizado marketing a pacientes finais em nome do Titular.
O Profissional poderá gerir os consentimentos de marketing aos seus pacientes a partir da Plataforma sob sua exclusiva responsabilidade.
O tratamento de dados de menores, caso exista, é da exclusiva responsabilidade do Profissional, que deverá cumprir com o consentimento dos pais ou representação legal de acordo com a regulamentação aplicável.
Quando o Centro regista na Plataforma um paciente menor de 18 anos, o Portal exige que os consentimentos e informações legais sejam aceites e assinados pelo pai, pela mãe ou pelo/a tutor/a legal do menor. O Titular conserva prova técnica dessa assinatura na qualidade de Subcontratante.
Se o Titular descontinuar a Plataforma ou resolver o contrato nos termos dos Termos (pre-aviso minimo de 30 dias de calendario a contar da comunicacao da SynkroBurn), o regime de destino dos dados sera o previsto na seccao 4 (exportacao e destruicao). A cessacao anunciada com esse pre-aviso nao gera, perante o responsável pelo tratamento, direito a indemnizacao distinta do reembolso proporcional das quotas pre-pagas nao usufruidas previsto nos Termos, na maxima medida permitida pela lei aplicavel a relacoes B2B.
O Titular pode atualizar esta política por alterações legais ou técnicas. A versão publicada no URL vigente prevalece. As alterações substanciais ao subcontrato serão comunicadas ao Profissional com antecedência razoável e poderão exigir nova aceitação no painel.