Acordo de Processamento de Dados (DPA)

Licitude do Tratamento

Possui uma base legal válida para o tratamento de dados ao abrigo do RGPD (Art. 6.º e 9.º), nomeadamente a execução de contrato com pacientes e interesse legítimo para gestão de registos clínicos.

Obtenção de Consentimentos

Obteve todos os consentimentos necessários dos pacientes e médicos dentistas antes de introduzir os seus dados na plataforma, incluindo consentimento parental válido para menores de 16 anos, conforme Art. 8.º do RGPD.

Informação aos Titulares

Informou os titulares de dados sobre o processamento, incluindo a identidade do Subcontratante (The Lean Insight) e os seus direitos ao abrigo do RGPD (Art. 13.º e 14.º).

Precisão dos Dados

Garante que os dados introduzidos na plataforma são precisos, completos e atualizados.

Resposta a Pedidos de Titulares

É responsável por responder a pedidos de exercício de direitos dos titulares de dados (acesso, retificação, apagamento), podendo solicitar assistência ao Subcontratante quando necessário.

Instrucções ao Subcontratante

Reconhece que a utilização das funcionalidades da plataforma Cheques Dentista constitui as suas instruções documentadas para o processamento de dados pelo Subcontratante (Art. 28.º, n.º 3, al. a) do RGPD).

Processar Apenas Conforme Instruções

Tratar dados pessoais apenas conforme instruções documentadas do Responsável pelo Tratamento (através da utilização da plataforma) e não para qualquer outra finalidade, salvo se exigido por lei (Art. 28.º, n.º 3, al. a) do RGPD).

Confidencialidade

Garantir que todas as pessoas autorizadas a tratar dados pessoais estão sujeitas a obrigações de confidencialidade (Art. 28.º, n.º 3, al. b) do RGPD).

Medidas de Segurança (Art. 32.º RGPD)

Implementar medidas técnicas e organizacionais adequadas para proteger os dados pessoais:

• Encriptação em trânsito (HTTPS/TLS) e em repouso (AES-256)
• Row-Level Security (RLS) para isolamento entre clínicas
• Controlo de acesso baseado em funções (RBAC)
• Autenticação forte com possibilidade de autenticação multi-fator
• Backups regulares e recuperação de desastres
• Logs de auditoria completos (voucher_status_history)

Assistência em Direitos dos Titulares

Auxiliar o Responsável pelo Tratamento, na medida do possível, no cumprimento de obrigações relativas a pedidos de exercício de direitos dos titulares (Art. 28.º, n.º 3, al. e) do RGPD), fornecendo funcionalidades de exportação, retificação e eliminação de dados.

Notificação de Violações de Dados

Notificar o Responsável pelo Tratamento de qualquer violação de dados pessoais no prazo de 24 horas após tomar conhecimento (Art. 33.º RGPD), fornecendo informação sobre a natureza da violação, categorias de titulares afetados, e medidas adotadas.

Auditorias e Inspeções

Disponibilizar toda a informação necessária para demonstrar conformidade com as obrigações do Art. 28.º do RGPD e permitir auditorias por parte do Responsável pelo Tratamento ou auditores autorizados, mediante aviso prévio de 30 dias.

Subcontratantes Autorizados

O Responsável pelo Tratamento autoriza expressamente a utilização dos seguintes sub-subcontratantes:

O Subcontratante notificará o Responsável com 30 dias de antecedência sobre qualquer adição ou substituição de sub-subcontratantes.

Eliminação ou Devolução de Dados

Após o término da prestação de serviços, o Subcontratante eliminará ou devolverá todos os dados pessoais ao Responsável pelo Tratamento, a pedido deste, e eliminará cópias existentes, salvo se a legislação da União ou nacional exigir a conservação (Art. 28.º, n.º 3, al. g) do RGPD).

Período de Conservação Pós-Cancelamento: 30 dias para permitir reativação, após os quais os dados são anonimizados ou eliminados, exceto se solicitada eliminação imediata.