Política de Privacidade

1. Quem somos e os nossos dois papéis

A Clinika OS é operada pela Lopes2Tech, empresário em nome individual Paulo Lopes, Riemenstrasse 1a, 8803 Rüschlikon, Suíça ("nós"). O nosso papel em proteção de dados depende dos dados:

Para os dados de conta, utilizador e faturação da clínica atuamos como responsável pelo tratamento. Para os dados de pacientes e dados clínicos que uma clínica introduz na plataforma (marcações, contactos, notas clínicas, admissão, consentimento, planos de tratamento) a clínica é a responsável pelo tratamento e nós atuamos apenas como subcontratante, tratando-os exclusivamente segundo as instruções documentadas da clínica ao abrigo do nosso Contrato de Subcontratação (ver abaixo).

Contacto: hello@clinika-os.ch

2. Dados que recolhemos

Recolhemos as seguintes categorias de dados pessoais:

• Dados de conta (responsável): nome, email, palavra-passe (cifrada), nome da clínica, função
• Dados de clínica e faturação (responsável): nome da clínica, morada, fuso horário, dados de subscrição e pagamento
• Dados de pacientes / clínicos (subcontratante para a clínica): identidade e contactos do cliente, dados de marcação e — quando a clínica ativa essas funcionalidades — registos clínicos que constituem dados de saúde (categoria especial, ver §3)
• Dados de utilização e segurança (responsável): registos de acesso, tipo de navegador e dispositivo, registos de erros

3. Bases legais (incluindo dados de saúde)

Quando somos responsáveis baseamo-nos em execução de contrato (art. 6.º/1/b RGPD), interesses legítimos (art. 6.º/1/f — segurança, prevenção de fraude, melhoria do serviço), obrigação legal (art. 6.º/1/c) e consentimento (art. 6.º/1/a) para cookies analíticos.

Os dados de saúde são uma categoria especial ao abrigo do art. 9.º do RGPD, dados pessoais sensíveis na LPD revista suíça (revFADP) e são ainda regidos em Portugal pela Lei n.º 58/2019. Quando são tratados dados clínicos/de saúde, a clínica (enquanto responsável) é responsável pela condição de categoria especial — normalmente o art. 9.º/2/h (gestão de cuidados de saúde sob a responsabilidade de um profissional de saúde) e/ou o consentimento explícito do paciente (art. 9.º/2/a). Tratamos esses dados apenas como subcontratante, segundo as instruções da clínica.

4. Armazenamento e segurança

Todos os dados de clínica e pacientes são armazenados em servidores localizados na Suíça (Supabase, região de Zurique). Usamos cifra em trânsito (TLS 1.2+) e em repouso (AES-256) e segurança ao nível da linha para isolar os dados de cada clínica. Quando subcontratantes operam fora da Suíça/EEE, as transferências são cobertas por salvaguardas adequadas — Cláusulas Contratuais-Tipo e, para fornecedores dos EUA certificados, o Data Privacy Framework UE–EUA (ver §7).

5. Conservação dos dados

Dados de conta e faturação (somos responsáveis): conservados durante a vigência da subscrição mais o período exigido por lei (até 10 anos, p. ex. art. 958f CO suíço). Dados de pacientes / clínicos (a clínica é responsável): a conservação é configurada e controlada pela clínica segundo a lei que lhe é aplicável — para clínicas portuguesas é a lei portuguesa de registos clínicos e fiscal, não a lei suíça. Mantemos esses dados enquanto a conta da clínica estiver ativa e apagamo-los ou devolvemo-los na cessação, conforme o Contrato de Subcontratação. Os registos de erros são eliminados após 30 dias.

6. Os seus direitos

Ao abrigo do RGPD, da revFADP suíça e — em Portugal — da Lei n.º 58/2019, pode aceder, retificar, apagar, limitar, portar e opor-se, e retirar o consentimento. Para dados de conta, contacte-nos. Para dados de pacientes/clínicos, dirija o pedido à clínica (a responsável); assistimos a clínica enquanto seu subcontratante. Respondemos em 30 dias.

Contacto: hello@clinika-os.ch

7. Subcontratantes

Recorremos aos seguintes subcontratantes ao abrigo de contratos de tratamento de dados:

• Supabase (Zurique, Suíça): base de dados, autenticação e armazenamento de ficheiros
• Vercel: alojamento da aplicação e CDN
• Stripe (EUA — Data Privacy Framework): processamento de pagamentos
• Resend (EUA): envio de email transacional
• Twilio (EUA): notificações de marcação por SMS (quando a clínica ativa o SMS)
• Sentry (EUA): monitorização de erros (anonimizada)
• Google Analytics / Vercel Analytics: apenas análise do website (sujeita a consentimento / sem cookies)

Mantemos uma lista atual de subcontratantes e notificamos os responsáveis de alterações ao abrigo do Contrato de Subcontratação.

8. Cookies

Os cookies estritamente necessários (sessão e autenticação na plataforma) não podem ser desativados. Cookies analíticos (website, só com consentimento): Google Analytics 4, definidos apenas se aceitar no banner; revogável a qualquer momento. Monitorização de desempenho: Vercel Analytics — anonimizada, sem cookies.

9. Notificação de violação de dados

Em caso de violação que represente risco para as pessoas, notificamos o PFPDT suíço e, quando aplicável, a autoridade competente da UE/EEE (p. ex. a CNPD em Portugal) no prazo de 72 horas, e informamos os titulares quando o risco for elevado. Quando somos subcontratante, notificamos a(s) clínica(s) afetada(s) sem demora injustificada. Mantemos um registo interno de violações.

10. Autoridades de controlo, EPD e reclamações

Pode reclamar junto da sua autoridade local — na Suíça o PFPDT (www.edoeb.admin.ch); em Portugal a CNPD (www.cnpd.pt); ou a sua autoridade local na UE/EEE.

Mantemos sob avaliação a necessidade de um Encarregado de Proteção de Dados (EPD); dado que tratamos dados de saúde por conta de clínicas, nomearemos um se e quando for exigido. As clínicas continuam responsáveis pelas suas próprias obrigações de EPD.

11. Contrato de Subcontratação

O nosso tratamento de dados de pacientes/clínicos por conta das clínicas rege-se pelo nosso Contrato de Subcontratação (art. 28.º RGPD), que faz parte dos Termos de Serviço.

12. Alterações e contacto

As alterações materiais são comunicadas aos titulares de conta com pelo menos 14 dias de antecedência. Contacto: hello@clinika-os.ch