Política de Privacidade

O responsável pelo tratamento dos dados pessoais descritos nesta política é Pedro Miguel Ferreira Lopes Braga Themido, empresário em nome individual, NIF 206703210, com sede em Estrada do Prado 1D, 2300-325 Tomar e escritórios em Rua Ciudad Rodrigo N.º 23, 5.º Esq., 3810-083 Aveiro (doravante «Vasco.chat» ou «Vasco»).

Para qualquer questão sobre privacidade ou para exercer os seus direitos: data@vasco.chat.

Ponto de contacto para proteção de dados: Equipa de dados do VASCO, através de data@vasco.chat. Nesta fase a Vasco.chat não designou um Encarregado de Proteção de Dados (artigo 37.º do RGPD).

Esta política aplica-se ao site vasco.chat, à aplicação e ao widget VASCO, à conta VASCO ID e à subscrição.

Nos workspaces de farmácias, grupos e empresas, a entidade cliente é responsável pelos dados dos seus utentes que a equipa introduz no VASCO, e a Vasco.chat atua como subcontratante, nos termos do Acordo de Tratamento de Dados.

Quando um profissional com conta individual introduz dados de utentes numa conversa, é ele quem decide fazê-lo e com que finalidade: o profissional é o responsável por esses dados e a Vasco.chat trata-os apenas por sua conta, para lhe responder, nos termos do Acordo de Tratamento de Dados. Para os dados da própria conta (identificação, faturação, segurança), a responsável é a Vasco.chat. Equipa de Dados: data@vasco.chat.

• Conta e acesso: nome, e-mail, credenciais (geridas pelo serviço de autenticação), registos de sessão; no início de sessão Google ou Apple, o nome e o e-mail transmitidos por esse fornecedor.
• Perfil profissional: profissão, declaração de profissional de saúde, farmácia ou organização, função e permissões no workspace; campos opcionais do cartão VASCO ID (por exemplo, a ligação ao LinkedIn).
• Subscrição e faturação: plano, estado da subscrição, NIF e dados de faturação, histórico de pagamentos e faturas. Os dados do cartão ou do IBAN são tratados pela Stripe; a Vasco.chat não recebe o número completo do cartão.
• Conversas com o VASCO: o texto das perguntas e respostas, tratado para gerar a resposta. Não é guardado por omissão (ver secção 5).
• Imagens (receitas, embalagens), apenas quando o Utilizador dá consentimento explícito para a leitura de imagem.
• Registo de atividade da conta: pesquisas (sem o texto da pergunta) e cálculos das calculadoras (por exemplo, peso, idade, creatinina e resultado), visíveis apenas ao próprio.
• Registos de auditoria da inteligência artificial: código do tema, contadores e uma impressão digital com segredo de servidor — nunca o texto do pedido nem da resposta.
• Sinais agregados de utilização: tema, tipo de necessidade e período, sem o texto das perguntas e com identificadores pseudonimizados separados por finalidade.
• Sinais do modo aprendizagem («Ajudar a melhorar o VASCO»): sinais de utilização pseudonimizados, um registo por pergunta — o tipo de pergunta, o tema clínico, o medicamento ou a substância do catálogo, os tipos e os domínios públicos das fontes, o resultado da resposta, o 👍/👎 e a data (só o dia). Não incluem identificadores diretos (nome, e-mail, conta, farmácia ou dispositivo), o texto das perguntas ou das respostas, nem dados de utentes (ver secção 6).
• Plano de Toma enviado ao utente (workspaces de farmácia): o número de telemóvel do utente e uma ligação opaca — nunca produto, dose ou horário na mensagem.
• Cookies e armazenamento local: descritos na Política de Cookies.

Ao descrever um caso, o profissional pode introduzir informação de saúde de um utente — uma categoria especial de dados. Pedimos que não introduza dados que identifiquem o utente: o VASCO não precisa deles para responder.

Antes de qualquer envio aos modelos de inteligência artificial, o texto é minimizado automaticamente e são removidos: endereços de e-mail, números de telefone (formato português), NIF identificado como tal, número de utente/SNS identificado como tal, número de cartão de cidadão, datas completas, códigos postais, IBAN português, números de cartão de pagamento e número de receita identificado como tal.

Limites honestos: nomes próprios e moradas escritas em texto livre não são removidos automaticamente — não os escreva. Só o texto que escreve é enviado; nada é lido do software de atendimento nem da página.

Quando o tratamento é feito por conta de uma farmácia, o fundamento é o da prestação de cuidados de saúde por profissional sujeito a sigilo (artigo 9.º, n.º 2, alínea h), e n.º 3, do RGPD), cabendo à farmácia, como responsável, assegurá-lo.

As conversas não são guardadas por omissão. O histórico pessoal é opcional e só existe se o ativar; escolhe por quanto tempo fica guardado (7, 30 ou 90 dias), uma escolha que fica registada na sua conta, e pode apagá-lo todo, de imediato, a qualquer momento.

O histórico é estritamente pessoal: só a própria conta o consulta, no âmbito do workspace em que foi criado. A farmácia, o gestor, as marcas parceiras e a equipa Vasco.chat não têm acesso ao seu conteúdo, que nunca é usado para avaliar desempenho. A pesquisa no histórico é feita no próprio navegador.

Comunicar um erro envia apenas a descrição que escreve e, se quiser, o endereço da página — nunca a conversa nem informação de utentes.

Melhoria do VASCO (modo aprendizagem). Com «Ajudar a melhorar o VASCO» ligado — por omissão, depois de um aviso no chat — guardamos apenas sinais de utilização, um registo por pergunta: o tipo de pergunta, o tema clínico, o medicamento ou a substância do catálogo, os tipos e os domínios públicos das fontes, o resultado da resposta, o 👍/👎 e a data (só o dia). Não guardamos o texto das perguntas ou das respostas, dados de utentes, nem identificadores diretos — nome, e-mail, conta, farmácia ou dispositivo. Os sinais são pseudonimizados, não anónimos: continuam a ser dados pessoais. O fundamento é o interesse legítimo em melhorar a qualidade e a segurança das respostas (artigo 6.º, n.º 1, alínea f), do RGPD). Pode opor-se a qualquer momento (artigo 21.º), desligando «Ajudar a melhorar o VASCO» na conta: a partir daí nada novo é guardado. Os sinais são conservados 12 meses, nunca servem para treinar modelos de terceiros e nunca alteram respostas, doses ou regras clínicas de forma automática: qualquer melhoria passa por revisão humana.

Não tomamos decisões com efeitos jurídicos baseadas exclusivamente em tratamento automatizado (artigo 22.º do RGPD): as respostas do VASCO apoiam a decisão do profissional, que é sempre humana.

• Conta: enquanto estiver ativa; após o encerramento, os dados da conta são apagados no prazo de 120 dias, salvo os que a lei obriga a conservar.
• Histórico pessoal: guardado apenas pelo prazo que escolher (7, 30 ou 90 dias) e apagável de imediato; uma rotina diária apaga definitivamente as mensagens que ultrapassam esse prazo.
• Registos de auditoria da inteligência artificial: 90 dias (respostas, sugestões, apoio à gestão e formação), 30 dias (leitura de imagem) e 180 dias (indexação de conhecimento publicado).
• Registo de atividade da conta: 180 dias.
• Sinais agregados de utilização: 90 dias.
• Sinais do modo aprendizagem: 12 meses; uma rotina diária apaga definitivamente os mais antigos.
• Documentos de faturação: pelo prazo legal de conservação de documentos fiscais.
• Registo de consentimento de cookies: 6 meses; depois voltamos a perguntar.
• Nos fornecedores de inteligência artificial: até 30 dias, segundo os respetivos contratos, sem utilização para treino.

Recorremos a prestadores que tratam dados por nossa conta, com obrigações contratuais de confidencialidade e segurança. A lista completa, com finalidade e localização, está em Subcontratantes. Não vendemos dados pessoais. Podemos comunicar dados a autoridades quando a lei o exija.

Alguns fornecedores tratam dados fora do Espaço Económico Europeu (por exemplo, nos EUA). Essas transferências assentam em mecanismos previstos no RGPD, como decisões de adequação ou cláusulas contratuais-tipo. A base de cada fornecedor está indicada em Subcontratantes.

Pode pedir o acesso, a retificação, o apagamento, a limitação ou a portabilidade dos seus dados, opor-se a tratamentos baseados em interesse legítimo e retirar o consentimento a qualquer momento, sem afetar o tratamento anterior. Escreva para data@vasco.chat; respondemos no prazo de um mês, prorrogável nos termos do artigo 12.º do RGPD.

Se for utente de uma farmácia cliente, dirija o pedido à farmácia, que é a responsável; a Vasco.chat ajuda-a a responder.

Tem o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD).

Aplicamos medidas técnicas e organizativas adequadas, incluindo isolamento de dados por farmácia e organização, comunicações cifradas, autenticação de dois fatores nas operações de administração sensíveis e minimização antes da inteligência artificial. Detalhe em Segurança.

Esta política pode ser atualizada para refletir mudanças no serviço ou na lei. Alterações relevantes são comunicadas por e-mail ou na aplicação. A versão e a data em vigor estão no topo desta página.