1. Enquadramento e partes
Este Acordo de Tratamento de Dados ("DPA") complementa os Termos de Serviço e regula o tratamento de dados pessoais efetuado pela Lena por conta do cliente empresarial que utiliza a plataforma ("o Cliente"), nos termos do artigo 28.º do Regulamento Geral sobre a Proteção de Dados (RGPD — Regulamento UE 2016/679).
- Responsável pelo tratamento — o Cliente (o negócio), que determina as finalidades e os meios do tratamento dos dados dos seus próprios clientes finais.
- Subcontratante — a Lena, que trata esses dados exclusivamente por conta e sob instruções do Cliente, ao disponibilizar a plataforma.
Relativamente aos dados da conta do Cliente (dados de registo e faturação do próprio negócio), a Lena atua como responsável pelo tratamento — ver a Política de Privacidade.
2. Objeto e duração
O objeto do tratamento é a prestação do serviço Lena. O tratamento tem a duração do contrato entre as partes e cessa com o encerramento da conta, sem prejuízo das obrigações legais de conservação (nomeadamente fiscais).
3. Natureza e finalidade do tratamento
A Lena trata os dados unicamente para disponibilizar as funcionalidades da plataforma: gestão de marcações, gestão de clientes, comunicações automáticas (email/SMS), registos clínicos, faturação e funcionalidades associadas que o Cliente ative.
4. Tipo de dados e categorias de titulares
São tratados os dados que o Cliente e os seus clientes finais introduzem na plataforma:
- Dados de identificação e contacto — nome, telefone, email, NIF, morada
- Dados de marcações e histórico — consultas, serviços, pagamentos
- Dados de saúde — notas e registos clínicos (categoria especial, art. 9.º RGPD), quando o Cliente utiliza essas funcionalidades
Categorias de titulares: os clientes finais do Cliente e, quando aplicável, os seus colaboradores.
5. Obrigações da Lena (subcontratante)
A Lena compromete-se a:
- Tratar os dados apenas segundo instruções documentadas do Cliente, salvo obrigação legal;
- Garantir que as pessoas autorizadas a tratar os dados estão sujeitas a dever de confidencialidade;
- Implementar as medidas técnicas e organizativas adequadas (art. 32.º RGPD) — encriptação em trânsito (HTTPS/TLS), controlo de acessos, autenticação por token, isolamento de dados por cliente (arquitetura multi-tenant) e cópias de segurança;
- Auxiliar o Cliente no cumprimento dos pedidos de exercício de direitos dos titulares;
- Auxiliar o Cliente no cumprimento das obrigações dos artigos 32.º a 36.º (segurança, notificação de violações e avaliações de impacto);
- Notificar o Cliente sem demora injustificada após ter conhecimento de uma violação de dados pessoais;
- Disponibilizar ao Cliente as informações necessárias para demonstrar o cumprimento destas obrigações.
6. Subcontratados ulteriores (subprocessadores)
O Cliente autoriza a Lena a recorrer aos seguintes subcontratados, sujeitos a garantias contratuais de proteção de dados equivalentes às deste DPA:
- Fornecedor de infraestrutura cloud — alojamento da plataforma e base de dados (servidores na União Europeia);
- Fornecedor de email transacional — envio de confirmações e lembretes;
- Fornecedor de SMS — envio de lembretes por SMS (apenas número de telefone e texto da mensagem);
- itBase — Winmax4 — emissão de faturas certificadas pela AT, apenas quando o Cliente ativa a funcionalidade de faturação.
A Lena informará o Cliente de qualquer alteração pretendida à lista de subcontratados, dando-lhe a possibilidade de se opor.
7. Transferências internacionais
Os dados são tratados no Espaço Económico Europeu. Qualquer transferência para país terceiro só ocorrerá com fundamento jurídico adequado nos termos do capítulo V do RGPD (ex: cláusulas contratuais-tipo).
8. Obrigações do Cliente (responsável)
O Cliente compromete-se a:
- Tratar os dados dos seus clientes finais em conformidade com o RGPD, dispondo de base legal adequada (nomeadamente consentimento, quando exigido);
- Fornecer aos titulares a informação exigida e recolher os consentimentos necessários, incluindo para dados de saúde;
- Utilizar as ferramentas de consentimento e de gestão de dados disponibilizadas pela plataforma.
9. Eliminação ou devolução dos dados
Após a cessação do contrato, a Lena elimina ou devolve ao Cliente todos os dados pessoais, à escolha deste, no prazo de 90 dias, salvo obrigação legal de conservação (ex: documentos fiscais — 10 anos, conforme a legislação portuguesa). Mediante pedido, o Cliente pode obter uma cópia dos dados num formato estruturado e legível por máquina.
10. Auditoria
A Lena disponibiliza ao Cliente, mediante pedido razoável, a informação necessária para demonstrar o cumprimento deste DPA e permite auditorias, incluindo inspeções, conduzidas pelo Cliente ou por auditor por este mandatado.
11. Responsabilidade
A responsabilidade de cada parte rege-se pelos Termos de Serviço e pelo artigo 82.º do RGPD. Cada parte responde pelos danos que causar em resultado do incumprimento das obrigações que o RGPD lhe impõe.