Acordo de Tratamento de Dados

Responsável pelo tratamento: a farmácia, grupo, empresa ou organização que subscreve um plano de workspace do VASCO (o «Cliente»).

Subcontratante: Pedro Miguel Ferreira Lopes Braga Themido, empresário em nome individual, NIF 206703210, com sede em Estrada do Prado 1D, 2300-325 Tomar e escritórios em Rua Ciudad Rodrigo N.º 23, 5.º Esq., 3810-083 Aveiro (doravante «Vasco.chat» ou «Vasco»).

Este Acordo regula o tratamento de dados pessoais que a Vasco.chat realiza por conta do Cliente ao prestar o VASCO, e faz parte integrante dos Termos do Serviço. O Acordo considera-se aceite pelo Cliente no registo da conta ou na subscrição de um plano no checkout.

O Acordo vigora enquanto durar a subscrição do Cliente e, depois dela, pelo tempo necessário à devolução ou ao apagamento dos dados previstos na cláusula 12.

• alojamento e disponibilização do workspace, dos utilizadores e das permissões;
• geração de respostas do assistente a perguntas da equipa, incluindo o envio do texto minimizado aos fornecedores de inteligência artificial;
• envio do Plano de Toma ao utente, por SMS ou código QR, com uma ligação opaca;
• painéis de stock e validades a partir das listagens que a farmácia exporta;
• registos de auditoria e segurança, sem o texto das perguntas nem das respostas.

O Cliente autoriza a Vasco.chat a extrair e a utilizar, para melhorar o próprio serviço, sinais de utilização pseudonimizados, um registo por pergunta (o tipo de pergunta, o tema clínico, o medicamento ou a substância do catálogo, os tipos e os domínios públicos das fontes, o resultado da resposta, o 👍/👎 e a data, só o dia), sem o texto das perguntas ou das respostas, sem dados de utentes e sem identificadores diretos do Cliente, dos membros da equipa ou dos dispositivos (nome, e-mail, conta, farmácia ou dispositivo). Estes sinais são conservados 12 meses, nunca servem para treinar modelos de terceiros e nunca alteram respostas clínicas sem revisão humana. Cada membro da equipa pode desligá-los a qualquer momento em «Ajudar a melhorar o VASCO».

As listagens de stock e validades não se destinam a conter dados pessoais.

• garantir o fundamento de licitude e informar os utentes do tratamento;
• instruir a equipa para não introduzir dados identificativos de utentes desnecessários (nomes, moradas, NIF, número de utente);
• gerir os membros da equipa, as permissões e a remoção de acessos;
• dar instruções documentadas lícitas, sendo os Termos, este Acordo e as configurações do workspace as instruções em vigor.

• tratar os dados apenas segundo as instruções documentadas do Cliente, salvo obrigação legal, de que o informa previamente;
• garantir que as pessoas autorizadas a tratar os dados assumiram compromisso de confidencialidade;
• aplicar as medidas de segurança do artigo 32.º do RGPD (cláusula 9);
• respeitar as condições de recurso a outros subcontratantes (cláusula 7);
• prestar assistência ao Cliente no exercício dos direitos dos titulares e no cumprimento dos artigos 32.º a 36.º do RGPD;
• apagar ou devolver os dados no fim da prestação (cláusula 12);
• disponibilizar a informação necessária para demonstrar o cumprimento do artigo 28.º e permitir auditorias (cláusula 13);
• informar o Cliente se considerar que uma instrução viola a lei de proteção de dados.

O Cliente autoriza, de forma geral, o recurso aos subcontratantes listados em Subcontratantes. A Vasco.chat informa o Cliente de qualquer adição ou substituição com a antecedência mínima de 30 dias, podendo o Cliente opor-se por motivos fundamentados. A cada subcontratante são impostas obrigações de proteção de dados equivalentes às deste Acordo.

Transferências para fora do Espaço Económico Europeu só ocorrem com garantias adequadas nos termos do capítulo V do RGPD, como decisões de adequação ou cláusulas contratuais-tipo.

• isolamento dos dados por farmácia e organização na base de dados, com políticas de acesso por linha;
• comunicações cifradas;
• autenticação de dois fatores obrigatória nas operações de administração sensíveis;
• minimização automática de identificadores antes de qualquer envio aos modelos de inteligência artificial;
• fornecedores de inteligência artificial autorizados por registo, com exclusão contratual de treino;
• registos de auditoria sem o texto das perguntas nem das respostas;
• páginas das áreas reservadas nunca guardadas na cache do navegador;
• cifragem dos dados em repouso (AES-256), incluindo as cópias de segurança automáticas, e em trânsito (TLS).

Detalhe em Segurança.

A Vasco.chat notifica o Cliente sem demora injustificada, e em qualquer caso no prazo de 24 horas após ter conhecimento de uma violação de dados pessoais, com a informação prevista no artigo 33.º, n.º 3, do RGPD que esteja disponível, e colabora nas medidas de contenção e nas notificações à CNPD e aos titulares.

A Vasco.chat ajuda o Cliente a responder a pedidos dos titulares e, quando necessário, a realizar avaliações de impacto sobre a proteção de dados (artigo 35.º do RGPD). Os pedidos são dirigidos a data@vasco.chat.

No fim da subscrição, e à escolha do Cliente, a Vasco.chat devolve os dados num formato de uso corrente ou apaga-os, no prazo de 120 dias, salvo conservação exigida por lei.

A Vasco.chat disponibiliza a informação necessária para demonstrar o cumprimento deste Acordo e permite auditorias, incluindo inspeções, pelo Cliente ou por auditor por si mandatado, com aviso prévio razoável, sob dever de confidencialidade e sem comprometer a segurança nem os dados de outros clientes.

Este Acordo rege-se pela lei portuguesa e pelo RGPD. Em tudo o que não esteja aqui previsto aplicam-se os Termos do Serviço.