Acordo de tratamento de dados

Papéis

O cliente é o responsável pelo tratamento dos dados pessoais que mantém no OPALEVI e decide o que é registado e porquê. OPALEVI L.L.C. («OPALEVI») é o subcontratante: trata esses dados apenas para prestar o serviço e apenas segundo as instruções documentadas do cliente, que são estes termos e a utilização do serviço pelo cliente.

Objeto, duração e finalidade

O tratamento consiste no alojamento e na exploração do OPALEVI para o cliente: guardar, consultar, apresentar, imprimir e transmitir os registos que os utilizadores do cliente introduzem. Dura enquanto durar a conta do cliente e até os dados serem eliminados depois de a conta terminar.

Dados e pessoas em causa

• Utilizadores: o pessoal, os professores e os estudantes do cliente — nomes, endereços de e-mail, números de telefone, funções, registos de início de sessão e o registo do seu trabalho.
• Pacientes e clientes: os registos que um estabelecimento mantém sobre eles, que podem incluir dados de saúde. Numa clínica de turma do OPALEVI for Education estes são fictícios e não são tratados dados de nenhum paciente real.

Obrigações do OPALEVI

• Trata os dados apenas segundo as instruções documentadas do cliente e informa o cliente se considerar que uma instrução viola a lei.
• Todas as pessoas no OPALEVI que possam aceder aos dados estão obrigadas a mantê-los confidenciais.
• Mantém os dados seguros com as medidas indicadas abaixo.
• Recorre a outros subcontratantes apenas como indicado abaixo, ao abrigo de condições escritas que dão aos dados a mesma proteção, e informa os clientes antes de acrescentar ou substituir um, atualizando esta página e a política de privacidade.
• Ajuda o cliente a responder aos pedidos das pessoas que exercem os seus direitos e nas avaliações e consultas que a lei exige.
• Informa o cliente sem demora injustificada, e o mais tardar no prazo de 72 horas após ter conhecimento, de uma violação de dados pessoais que afete os dados do cliente, com o que sabe e o que está a fazer a esse respeito.
• Quando a conta termina, elimina os dados, ou devolve primeiro uma cópia se o cliente o pedir, no prazo de 30 dias após o pedido do cliente; as cópias de segurança são substituídas nos 30 dias seguintes.
• Fornece ao cliente as informações necessárias para demonstrar que estas obrigações são cumpridas e responde a perguntas razoáveis de auditoria uma vez por ano, ou após uma violação.

Para um cliente na Nigéria, estas obrigações são também as que um subcontratante deve nos termos da Nigeria Data Protection Act 2023 (NDPA), e as partes cooperarão com a Nigeria Data Protection Commission sempre que a lei o exija.

Outros subcontratantes

• A Paddle.com, o nosso intermediário de faturação, trata os pagamentos e os dados de faturação de que precisa.
• A Freemius, Inc., comerciante registado das subscrições pagas através do seu checkout, trata esses pagamentos e os dados de faturação de que precisa.
• Privy fornece a conexão de carteira usada para pagamentos em EURC ou USDC.
• O prestador de alojamento que gere os nossos servidores e a base de dados armazena os dados em nosso nome.
• O Supabase armazena as credenciais de início de sessão (cada palavra-passe apenas como hash) e verifica-as quando inicia sessão.
• A Cloudflare entrega este website e executa a verificação de segurança nos seus formulários públicos, que examina o seu navegador e ligação para distinguir pessoas de programas automatizados.
• O PostHog (PostHog Inc., Estados Unidos) mede como o nosso site público é utilizado: que páginas são abertas, onde as pessoas clicam e quanto percorrem, com que rapidez as páginas carregam, e se um registo ou uma mensagem de contacto é concluído. Também mantém gravações de ecrã das visitas às páginas públicas, com tudo o que é escrito num formulário oculto, e pode colocar um inquérito de uma única pergunta. Não define cookies, não armazena nada no seu navegador, nunca vê a aplicação em si, e recebe os endereços das páginas sem as respetivas strings de consulta. O formulário de registo e o recibo de pagamento são contados mas não registados. Estes dados são processados nos Estados Unidos, ao abrigo das cláusulas contratuais-tipo da Comissão Europeia.
• O Google Analytics (Google Ireland Limited; os dados podem ser processados pela Google LLC nos Estados Unidos ao abrigo do Quadro de Privacidade de Dados UE–EUA e das cláusulas contratuais-tipo) mede como o nosso site público é utilizado: que páginas são abertas, de que país e tipo de dispositivo, e que site ou campanha trouxe o visitante. Funciona apenas nas páginas públicas e na página de registo, nunca dentro da aplicação, e não recebe dados da clínica nem de pacientes. As funcionalidades de publicidade estão desativadas.
• Para cada clínica, identificada apenas pelo seu número, o PostHog também recebe como o serviço é utilizado: quando a clínica se registou, quando adicionou o seu primeiro paciente e a sua primeira consulta, as alterações na sua subscrição e os pagamentos efetuados, e para cada dia de utilização, contagens como quantos colaboradores trabalharam nela e que partes do serviço foram abertas. Não são incluídos nomes, endereços de e-mail nem dados de pacientes.
• O Sentry (Functional Software, Inc., dados armazenados na UE, Frankfurt) recebe relatórios técnicos quando o serviço falha ou está lento: o tipo de erro, o local do nosso código onde ocorreu, que parte do serviço estava em uso, o número da clínica afetada e quanto tempo as páginas e os pedidos demoraram. Nomes, endereços de e-mail, números de processo, tudo o que é escrito e as strings de consulta dos endereços são removidos antes de um relatório ser enviado, e os ecrãs nunca são gravados.
• A Brevo (Sendinblue SAS, França) entrega os e-mails do serviço, como convites, redefinições de palavra-passe, confirmações de conta e lembretes, aos seus destinatários.
• A Infobip envia as mensagens de WhatsApp e as mensagens de texto (SMS) que um estabelecimento ativou para os seus pacientes. Recebe o número de telemóvel do paciente ou do proprietário do animal e o texto fixo da mensagem.
• O WhatsApp, um serviço da Meta, entrega as mensagens de WhatsApp na conta WhatsApp do destinatário e recebe o número e a mensagem, como acontece com qualquer mensagem de WhatsApp.

Cada um deles trata os dados apenas para prestar a sua parte do serviço, ao abrigo de um acordo escrito com o OPALEVI.

Medidas de segurança

• Os dados de cada cliente mantêm-se separados: cada pedido limita-se à organização a que o utilizador autenticado pertence.
• O acesso dentro de uma organização segue a função de cada pessoa, definida pelos administradores do cliente.
• As palavras-passe são guardadas apenas como hashes; uma pessoa pode acrescentar um segundo fator ao seu próprio início de sessão.
• O serviço funciona apenas através de ligações HTTPS cifradas.
• As alterações aos registos e as ações administrativas são escritas num registo de atividade que não pode ser editado.
• A base de dados é copiada todos os dias e as cópias de segurança são conservadas até 30 dias.

Onde os dados são tratados

Os servidores e a base de dados estão em centros de dados na União Europeia. Quando um prestador acima indicado trata dados fora dela, a política de privacidade di-lo, e a transferência assenta nas garantias que o RGPD (GDPR) prevê, como as cláusulas contratuais-tipo da Comissão Europeia.

Lei aplicável e litígios

Este acordo é regido pela lei da República do Kosovo. As partes tentarão primeiro resolver qualquer litígio conversando entre si; um litígio que não possa ser resolvido dessa forma é submetido aos tribunais competentes de Pristina.

Contacto

Para qualquer pergunta sobre este documento, ou para um pedido sobre os seus dados, escreva-nos para [email protected]. Respondemos no prazo de 30 dias.