Acordo de Tratamento de Dados

1. Partes

Responsável pelo tratamento: o profissional ou o centro titular da conta na Nerela, que decide que dados dos seus pacientes trata e para quê (o «Responsável»).

Subcontratante: LAGASTROEMIA VENTURES OÜ, sociedade constituída na Estónia, com sede em Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallinn, Estónia, número de identificação para efeitos de IVA EE102418024, que presta o serviço Nerela (a «Nerela»). Contacto para proteção de dados: admin@nerela.eu.

2. Objeto e duração

A Nerela trata, por conta do Responsável, os dados pessoais que este introduz ou recolhe através da Aplicação — sobretudo dados dos seus pacientes, incluindo dados de saúde — apenas para lhe prestar o serviço descrito nos Termos e Condições. Os tipos de dados, as categorias de titulares e as operações estão descritos no Anexo I.

Este acordo vigora enquanto o Responsável tiver conta na Nerela e, depois disso, enquanto a Nerela conservar dados tratados por sua conta (cláusula 12).

Os dados da própria conta do profissional (nome, email, dados de faturação da subscrição da Nerela) não estão abrangidos: em relação a esses, a Nerela é responsável pelo tratamento, como explica a Política de Privacidade.

3. Natureza e finalidade do tratamento

A Nerela aloja, organiza, conserva, apresenta, transmite e apaga os dados para que o Responsável possa usar as funções da Aplicação: agenda e marcações, fichas de pacientes, notas de sessão (incluindo imagens anexadas), faturação, reserva online e lembretes e, se o Responsável os ativar, os módulos opcionais (lembretes por WhatsApp, Secretária Virtual e cobrança por cartão).

A Nerela não trata esses dados para fins próprios: não os vende, não os cede a terceiros, não os usa para publicidade nem para criar perfis, e não os usa para treinar modelos de inteligência artificial.

4. Instruções do Responsável

A Nerela só trata os dados com base em instruções documentadas do Responsável, também no que respeita a transferências para fora do Espaço Económico Europeu (artigo 28.º, n.º 3, alínea a), do RGPD). São instruções documentadas este acordo, os Termos e Condições, as ações e configurações que o Responsável faz na Aplicação (por exemplo, criar, alterar, exportar ou apagar dados, ou ativar um módulo) e os pedidos que faça por escrito para admin@nerela.eu.

Se a Nerela considerar que uma instrução viola o RGPD ou outra norma de proteção de dados, informa de imediato o Responsável e pode suspender a sua execução até que este a confirme ou altere.

Se o direito da União ou de um Estado-Membro obrigar a Nerela a tratar os dados de outra forma, a Nerela informa o Responsável antes de o fazer, salvo se esse direito o proibir por motivos importantes de interesse público.

O pessoal da Nerela só acede ao conteúdo da conta do Responsável quando este o pede (por exemplo, para lhe dar suporte), quando é necessário para resolver um incidente de segurança ou de funcionamento, ou quando a lei o exige.

5. Confidencialidade e sigilo profissional

A Nerela garante que as pessoas autorizadas a tratar os dados se comprometeram a guardar confidencialidade ou estão sujeitas a uma obrigação legal de confidencialidade adequada, também depois de deixarem de trabalhar com a Nerela, e que só acedem aos dados na medida do necessário para prestar ou apoiar o serviço.

A Nerela sabe que o Responsável está sujeito a sigilo profissional e trata toda a informação clínica com a mesma reserva: não a divulga a ninguém, salvo por instrução do Responsável ou por obrigação legal.

6. Segurança do tratamento

A Nerela aplica as medidas técnicas e organizativas do Anexo II, adequadas ao risco de tratar dados de saúde (artigo 32.º do RGPD). Pode substituí-las por outras equivalentes ou melhores à medida que o serviço evolui, mas nunca de forma que reduza o nível global de proteção.

7. Subcontratantes ulteriores

O Responsável dá à Nerela uma autorização geral para recorrer aos subcontratantes ulteriores enumerados no Anexo III (artigo 28.º, n.º 2, do RGPD).

Antes de acrescentar ou substituir um subcontratante ulterior, a Nerela informa o Responsável por email e atualiza o Anexo III com pelo menos 30 dias de antecedência. Se um fornecedor da Nerela lhe der um aviso mais curto sobre uma alteração na sua própria cadeia, a Nerela informa o Responsável assim que tiver conhecimento dela.

O Responsável pode opor-se à alteração por escrito, com motivos razoáveis relacionados com a proteção de dados, até à data em que produz efeitos. Se não houver uma solução aceitável (por exemplo, deixar de usar o módulo afetado), o Responsável pode cancelar a conta antes dessa data, sem qualquer penalização.

A Nerela impõe a cada subcontratante ulterior, por contrato escrito, obrigações de proteção de dados equivalentes às deste acordo (artigo 28.º, n.º 4) e continua plenamente responsável perante o Responsável pelo cumprimento dessas obrigações.

Não são subcontratantes ulteriores da Nerela os serviços que o próprio Responsável escolhe e contrata e para os quais pede à Aplicação que envie dados — por exemplo, a ferramenta de videoconsulta cuja ligação indica, o programa de faturação certificado ou a conta Stripe que liga, a ADSE, o calendário onde subscreve a agenda ou o contabilista a quem envia relatórios. Em relação a esses, a Nerela limita-se a transmitir os dados que o Responsável indica, quando o indica.

8. Transferências internacionais

A base de dados, a autenticação e os ficheiros da Aplicação estão alojados na União Europeia (Paris, França). Alguns subcontratantes ulteriores tratam dados fora do Espaço Económico Europeu (EEE), sobretudo nos Estados Unidos: o Anexo III indica, para cada um, onde trata os dados e com que garantia.

A Nerela só transfere dados pessoais para fora do EEE, ou autoriza que um subcontratante ulterior o faça, com uma das garantias do capítulo V do RGPD: uma decisão de adequação da Comissão Europeia — incluindo o Quadro de Privacidade de Dados UE-EUA, para as empresas certificadas —, as cláusulas contratuais-tipo aprovadas pela Decisão de Execução (UE) 2021/914 da Comissão ou outra garantia adequada do artigo 46.º.

As transferências ligadas ao WhatsApp (lembretes por WhatsApp e Secretária Virtual) só acontecem se o Responsável usar essas funções.

9. Direitos dos titulares dos dados

Os pedidos dos titulares dos dados (acesso, retificação, apagamento, limitação, oposição e portabilidade) são respondidos pelo Responsável. A Aplicação permite-lhe consultar, corrigir e apagar diretamente os dados dos seus pacientes: ao apagar um paciente, apagam-se também as suas marcações, notas de sessão e imagens clínicas; as faturas já emitidas mantêm-se, por causa das obrigações fiscais, e tanto elas como as conversas de WhatsApp ficam desligadas da ficha. Para a portabilidade, o Responsável pode obter os dados como prevê a cláusula 12.

Se um titular se dirigir diretamente à Nerela, a Nerela reencaminha o pedido ao Responsável sem demora injustificada e, no máximo, em 5 dias úteis, e não lhe responde por conta própria, salvo para confirmar o reencaminhamento.

Tendo em conta a natureza do tratamento, a Nerela ajuda o Responsável, através de medidas técnicas e organizativas adequadas e na medida do possível, a responder a esses pedidos (artigo 28.º, n.º 3, alínea e)).

10. Violações de dados pessoais

A Nerela notifica o Responsável de qualquer violação de dados pessoais que afete dados tratados por sua conta sem demora injustificada após ter conhecimento dela, por email para o endereço da conta. [PENDENTE: prazo máximo a fixar com o jurista; proposta: 48 horas.]

A notificação inclui, na medida em que a Nerela a conheça, a informação do artigo 33.º, n.º 3, do RGPD — a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis, as medidas tomadas ou propostas e um ponto de contacto — e é completada por fases, à medida que a investigação avança.

A Nerela toma de imediato as medidas razoáveis para conter a violação e atenuar os seus efeitos, e ajuda o Responsável a cumprir as suas próprias obrigações: notificar a autoridade de controlo competente (em Portugal, a CNPD) no prazo de 72 horas do artigo 33.º e, quando o risco for elevado, comunicar a violação aos titulares (artigo 34.º). A Nerela não notifica autoridades nem titulares em nome do Responsável sem instrução deste, salvo se a lei a obrigar.

11. Assistência ao Responsável

Tendo em conta a natureza do tratamento e a informação de que dispõe, a Nerela ajuda o Responsável a cumprir as obrigações dos artigos 32.º a 36.º do RGPD: segurança do tratamento, violações de dados pessoais, avaliação de impacto sobre a proteção de dados e consulta prévia à autoridade de controlo. Para isso, disponibiliza este acordo e os seus anexos, responde a perguntas razoáveis sobre o funcionamento da Aplicação e informa o Responsável das alterações relevantes do serviço.

12. Fim do serviço: devolução e apagamento

A pedido do Responsável, feito por escrito para admin@nerela.eu, a Nerela entrega-lhe no prazo de 30 dias uma cópia dos dados pessoais que trata por sua conta, incluindo os ficheiros anexados, num formato estruturado, de uso corrente e de leitura automática. Quando a Aplicação permitir exportar os dados (nas Definições, na secção de privacidade e dados), o Responsável pode também descarregá-los diretamente; essa exportação é um meio de obter os dados e não substitui esta obrigação.

Antes de cancelar, o Responsável deve obter uma cópia do que precise de conservar — por exemplo, os registos clínicos e as faturas que a lei ou as regras da sua profissão o obriguem a guardar.

Depois do fim do serviço, a Nerela apaga os dados pessoais tratados por conta do Responsável, incluindo as cópias existentes, salvo se o direito da União ou de um Estado-Membro exigir a sua conservação. Se, até lá, o Responsável pedir uma cópia, a Nerela entrega-a antes de apagar. Os dados que ainda restem em cópias de segurança não são usados para nenhum fim até serem eliminados. [PENDENTE: prazo a fixar; proposta: 30 dias, mais o ciclo de retenção das cópias de segurança.]

13. Demonstração do cumprimento e auditorias

A Nerela disponibiliza ao Responsável a informação necessária para demonstrar o cumprimento deste acordo e do artigo 28.º do RGPD — este acordo, a lista de subcontratantes ulteriores e a descrição das medidas do Anexo II — e responde por escrito às suas perguntas razoáveis.

A Nerela permite e contribui para auditorias, incluindo inspeções, feitas pelo Responsável ou por um auditor por ele mandatado e sujeito a um dever de confidencialidade. Salvo perante uma violação de dados pessoais ou um pedido de uma autoridade de controlo, as auditorias pedem-se por escrito com pelo menos 30 dias de antecedência, fazem-se no máximo uma vez por ano e a cargo do Responsável, e não podem dar acesso a dados de outros clientes nem pôr em causa a segurança do serviço.

14. Obrigações do Responsável

O Responsável garante que tem um fundamento jurídico válido para tratar os dados dos seus pacientes, incluindo uma das condições do artigo 9.º, n.º 2, do RGPD para os dados de saúde, e que os informa nos termos dos artigos 13.º e 14.º, incluindo sobre as categorias de destinatários.

Dá instruções lícitas, decide durante quanto tempo conserva cada dado de acordo com a lei e com as regras da sua profissão, e não introduz na Aplicação dados de pessoas com quem não tem uma relação profissional legítima.

Protege o acesso do seu lado: guarda as credenciais, gere quem da sua equipa tem acesso e com que nível, e protege os dispositivos e as contas de email ou de WhatsApp onde recebe informação da Aplicação. Decide se ativa os módulos opcionais, sabendo que implicam as transferências descritas no Anexo III.

15. Responsabilidade

Cada parte responde perante os titulares dos dados nos termos do artigo 82.º do RGPD. Se a Nerela tratar os dados para fins próprios ou contra as instruções lícitas do Responsável, é considerada responsável pelo tratamento em relação a esse tratamento (artigo 28.º, n.º 10). [PENDENTE: articulação com a limitação de responsabilidade da secção 10 dos Termos e Condições, a rever com o jurista.]

16. Alterações, prevalência e lei aplicável

A Nerela pode atualizar este acordo para refletir mudanças no serviço, nos subcontratantes ulteriores (cláusula 7) ou na lei. As alterações materiais são comunicadas ao Responsável por email ou na Aplicação, com uma antecedência razoável.

Em caso de contradição entre este acordo e os Termos e Condições em matéria de proteção de dados pessoais, prevalece este acordo.

Este acordo rege-se pelo RGPD e pelo direito do Estado-Membro que for aplicável. [PENDENTE: escolha da lei aplicável e do foro, a decidir com o jurista; os Termos e Condições não a fazem hoje.]

17. Contacto

Para qualquer questão sobre este acordo, para pedir uma cópia dos dados ou para comunicar um incidente de segurança, o Responsável pode escrever para admin@nerela.eu. [PENDENTE: decidir se a Nerela designa um encarregado da proteção de dados (artigo 37.º do RGPD) e um endereço próprio para incidentes.]

Anexo I — Descrição do tratamento

• Titulares dos dados: pacientes do Responsável, incluindo menores que este acompanhe; pessoas que marcam consulta pela página pública de reservas do Responsável; pessoas cujos dados o Responsável regista na ficha ou na faturação (por exemplo, quem recebe a fatura); pessoas que escrevem para o número de WhatsApp atendido pela Secretária Virtual, se este módulo estiver ativo; os profissionais e outros membros da equipa do Responsável; e o contabilista a quem o Responsável envia relatórios.
• Dados de identificação e de contacto: nome, iniciais, email, telefone, morada e dados fiscais (número de contribuinte e nome e morada de faturação).
• Dados administrativos: marcações (data, hora, duração, serviço, modalidade presencial ou online, sala, profissional e estado), presenças e faltas, pagamentos e faturas, subsistema de saúde ou seguro para reembolso, profissional atribuído e origem do paciente.
• Dados de saúde (categoria especial, artigo 9.º do RGPD): notas de sessão e imagens anexadas, antecedentes clínicos, sinais de alerta e próximos passos registados na ficha, e qualquer outra informação clínica que o Responsável introduza. O simples facto de alguém ser paciente de um psicólogo pode revelar informação de saúde.
• Comunicações: lembretes, convites e faturas enviados por email aos pacientes e, se o Responsável usar o WhatsApp, as mensagens de WhatsApp (lembretes e conversas com a Secretária Virtual).
• Dados técnicos: registos de acesso e de erros do servidor.
• Operações: recolha (pelo Responsável ou pela página de reservas), registo, organização, conservação, consulta, apresentação, geração de documentos (faturas e relatórios), envio de emails e de mensagens, exportação e apagamento.
• Finalidade: prestar ao Responsável o serviço de gestão da consulta descrito nos Termos e Condições.
• Duração e conservação: enquanto a conta existir e, depois, conforme a cláusula 12. Durante a vigência da conta, é o Responsável que decide durante quanto tempo conserva cada dado, e pode apagá-lo na Aplicação.
• Localização: base de dados, autenticação e ficheiros na União Europeia (Paris, França); as funções do servidor da Aplicação executam-se também em Paris. Os recursos estáticos e o encaminhamento dos pedidos passam pela rede global da Vercel, e os tratamentos fora do EEE estão no Anexo III.
• Frequência: contínua, enquanto o Responsável usar a Aplicação.

Anexo II — Medidas técnicas e organizativas

Medidas que existem hoje na Aplicação. A Nerela revê-as sempre que o serviço muda.

• Cifra em trânsito: toda a comunicação com a Aplicação usa HTTPS (TLS), com HSTS ativo para que o navegador recuse ligações sem cifra.
• Isolamento entre contas na própria base de dados: as tabelas com dados dos clientes têm políticas de Row Level Security (RLS) do PostgreSQL, que só deixam ler e escrever as linhas das contas a que o utilizador pertence. A separação não depende apenas do código da Aplicação.
• Níveis de acesso dentro da conta (titular, gerente e colaborador): as fichas, as marcações e as notas de sessão obedecem a uma regra única aplicada na base de dados — titular e gerente veem tudo; um colaborador vê os pacientes que lhe estão atribuídos e, se a conta o permitir, os que estão partilhados com a equipa. A faturação, as despesas e as conversas de WhatsApp estão reservadas a titular e gerente, e as credenciais de serviços externos, ao titular.
• Imagens clínicas num contentor de armazenamento privado, organizado por conta e protegido por RLS; só se mostram através de ligações assinadas que expiram ao fim de 12 horas.
• As credenciais de serviços externos que o Responsável liga (programa de faturação certificado, ADSE) guardam-se cifradas na base de dados (pgcrypto), com a chave de cifra fora da base de dados.
• Limites de ritmo nos pontos de entrada públicos e nos envios (reserva online, ligações partilhadas com o contabilista, demonstração pública e envios de WhatsApp e de email), com contadores na base de dados.
• Os webhooks dos fornecedores de pagamentos e de WhatsApp só são aceites com assinatura válida, e as tarefas programadas exigem um segredo.
• Cabeçalhos de segurança: a Aplicação não pode ser incorporada noutros sites, e o navegador recebe HSTS, nosniff, uma política de referenciador e uma política de permissões que bloqueia câmara, microfone e localização.
• Minimização do que sai da Aplicação: o calendário subscrito mostra só um título genérico, nunca o nome do paciente; a ligação de videoconsulta é um código aleatório, revogável e limitado à janela da consulta, que não revela o nome do paciente nem as notas.
• A chave de serviço da base de dados, que ignora a RLS, só existe no servidor e nunca chega ao navegador. As chaves e os segredos ficam nas variáveis de ambiente do alojamento, nunca no código.
• Monitorização de erros (se estiver ativa) com filtragem antes do envio: sem corpo dos pedidos, parâmetros, cookies, identidade do utilizador nem gravação de sessão, e com uma tentativa automática de retirar emails, telefones e números fiscais do texto dos erros.
• Na Aplicação não há publicidade nem ferramentas de analítica de terceiros.
• Secretária Virtual (se estiver ativa): o texto de quem envia mensagens é separado das instruções do sistema, e as ações sobre a agenda só podem tocar nas marcações do próprio remetente, identificado pelo número internacional completo.
• Apagamento efetivo: apagar um paciente apaga as suas marcações, notas de sessão e imagens clínicas, incluindo os ficheiros do armazenamento.
• Acesso do pessoal da Nerela: na Aplicação, só os administradores da plataforma têm funções internas. Entrar numa conta de cliente para lhe dar suporte só é possível com essa permissão, e cada entrada fica registada num registo que não pode ser alterado nem apagado a partir da Aplicação.
• Confidencialidade das pessoas que tratam os dados (cláusula 5) e acesso ao conteúdo das contas só nos casos da cláusula 4.
• Procedimento interno escrito de resposta a incidentes, incluindo violações de dados pessoais.
• Cópias de segurança: as que o fornecedor da base de dados faz no plano contratado pela Nerela. [PENDENTE: confirmar o plano do Supabase, a frequência e a retenção das cópias de segurança.]

Anexo III-A — Subcontratantes ulteriores que tratam dados de pacientes

Lista a 9 de outubro de 2026. As localizações e as garantias são as que constam da documentação pública de cada fornecedor.

Anexo III-B — Fornecedores que não tratam dados de pacientes

Figuram aqui para que o Responsável saiba quem mais intervém no serviço. Tratam dados do próprio profissional, em relação aos quais a Nerela é responsável pelo tratamento.