Política de Privacidade

1. Quem é responsável pelo tratamento

Para os teus dados de conta (se és profissional ou centro com conta na Nerela — nome, email, dados de faturação da tua subscrição) e para os dados de quem visita os nossos sites (nerela.eu e nerela.lat), o responsável pelo tratamento é a LAGASTROEMIA VENTURES OÜ, com sede em Sakala tn 7-2, Kesklinna linnaosa, 10141 Tallinn, Estónia, número de identificação para efeitos de IVA EE102418024. Podes contactar-nos para qualquer questão de proteção de dados através de admin@nerela.eu.

Para os dados dos pacientes que um profissional introduz na Aplicação (ficha do paciente, notas de sessão, marcações), o responsável pelo tratamento é o próprio profissional ou centro — é ele quem decide que dados recolhe e para quê. A Nerela atua aqui como subcontratante (encarregado do tratamento), processando esses dados só para prestar o serviço e seguindo as instruções do profissional, nunca para fins próprios.

2. Que dados tratamos

• Dados de conta do profissional: nome, email, telefone, tipo de conta (independente/centro), idioma preferido.
• Dados de faturação da subscrição: NIF, morada fiscal, IBAN (para o teu próprio plano Nerela).
• Dados de pacientes introduzidos pelo profissional: nome, contacto (email/telefone), morada, dados de marcações, e — na categoria mais sensível — notas de sessão clínicas.
• Dados técnicos mínimos: registos de acesso e erros do servidor, com o scrubbing descrito na secção 9.
• Dados de quem visita os nossos sites (nerela.eu e nerela.lat): a campanha ou a ligação de onde chegas e, só se aceitares a publicidade, identificadores do navegador e eventos da visita (ver a página, carregar no botão de registo ou no do WhatsApp), conforme a secção 11.
• Só se aceitaste as cookies de marketing no nosso site público: os dados que enviamos à Meta quando crias a tua conta (o teu email e o teu telefone convertidos numa impressão irreversível — um hash SHA-256 —, o teu endereço IP, o agente de utilizador do teu navegador e os identificadores da Meta do teu navegador e do teu clique). Não incluem quaisquer dados de pacientes.

3. Dados de saúde: base legal e cuidado especial

As notas de sessão e qualquer informação clínica são "categorias especiais de dados" ao abrigo do artigo 9.º do RGPD. O profissional (responsável pelo tratamento perante o seu paciente) é quem tem de assegurar uma base legal válida — tipicamente o consentimento explícito do paciente ou a necessidade do próprio acompanhamento terapêutico (artigo 9.º, n.º 2, alíneas a) ou h)).

Do nosso lado, protegemos esses dados com isolamento técnico por profissional (Row Level Security no Supabase — cada profissional só consegue aceder, a nível de base de dados, aos seus próprios pacientes) e com a política de scrubbing na monitorização de erros descrita na secção 9.

4. Finalidades e base legal do tratamento

• Prestar o serviço (agenda, fichas, notas, faturação, reserva online) — execução do contrato contigo.
• Processar a tua subscrição e faturação — execução do contrato e cumprimento de obrigações legais fiscais.
• Enviar lembretes de consulta por email/WhatsApp aos pacientes, a pedido do profissional — execução do contrato entre o profissional e o paciente, através da Nerela como subcontratante.
• Segurança e deteção de erros — interesse legítimo em manter o serviço a funcionar de forma fiável e segura, com scrubbing de dados pessoais (secção 9).
• Medir e otimizar os nossos anúncios na Google e na Meta — o teu consentimento (artigo 6.º, n.º 1, alínea a) do RGPD e, quanto às cookies, a legislação de ePrivacy), que podes retirar a qualquer momento na ligação «Cookies» do rodapé do site.
• Saber de que campanha ou ligação chega cada registo, com as cookies de medição própria descritas na Política de Cookies — interesse legítimo em medir a eficácia da nossa própria publicidade sem partilhar esses dados com terceiros.

5. Quanto tempo conservamos os dados

Enquanto a tua conta estiver ativa, conservamos os dados necessários para prestar o serviço. Depois de cancelares, eliminamo-los ou anonimizamo-los num prazo razoável, exceto quando exista uma obrigação legal de os conservar durante mais tempo (por exemplo, a documentação fiscal da tua subscrição).

Os registos clínicos dos teus pacientes têm prazos de conservação próprios, fixados pela lei e pelas regras da tua ordem profissional. Como responsável pelo tratamento desses dados, és tu quem tem de cumprir esses prazos: se precisares de conservar informação para além da vigência da conta, fala connosco antes de cancelar (admin@nerela.eu).

6. Com quem partilhamos dados (subencarregados)

Não vendemos dados a ninguém. Partilhamos dados apenas com os prestadores necessários para operar o serviço, todos com o seu próprio compromisso de proteção de dados — ver a tabela no final desta página. A Meta não é subcontratante e por isso não consta da tabela: se aceitares a publicidade no site, recebe os dados do píxel como responsável pelo tratamento (secção 11).

7. Transferências internacionais

Os dados clínicos que guardas na Nerela — fichas dos pacientes, marcações, notas de sessão e imagens anexadas — ficam no Supabase (base de dados, autenticação e ficheiros), na região da UE de Paris, França (eu-west-3). O código do servidor da Aplicação corre na Vercel, também em Paris (região cdg1); os recursos estáticos e o encaminhamento dos pedidos passam pela rede global da Vercel.

Alguns prestadores tratam dados nos Estados Unidos, e preferimos dizê-lo com clareza em vez de afirmar que não há nenhum. A Resend envia os emails da Aplicação (lembretes e convites de consulta, faturas, relatórios para o contabilista e avisos para ti) e trata esses dados nos Estados Unidos. A Twilio só intervém se usares o WhatsApp (lembretes por WhatsApp ou Secretária Virtual) e trata as mensagens nos Estados Unidos, a sua região predefinida. A Stripe cobra a tua subscrição e, se o ativares, os pagamentos por cartão dos teus pacientes, a partir da Irlanda e com transferências para os Estados Unidos. A Anthropic só intervém se ativares a Secretária Virtual: o modelo de IA que escreve as respostas de WhatsApp precisa de ler as mensagens dessa conversa. Nenhum destes prestadores recebe as tuas notas de sessão.

Se ativarmos a monitorização de erros (Sentry), os relatórios de erros, filtrados antes de saírem do nosso servidor (secção 9), podem ser tratados nos Estados Unidos, conforme a região do projeto. Cada transferência para fora do EEE assenta numa garantia do capítulo V do RGPD — o Quadro de Privacidade de Dados UE-EUA ou as Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia —, indicada na tabela no final desta página.

Se aceitares a publicidade no site, a Meta Platforms Ireland Limited (Irlanda) recebe os dados do píxel da Meta (secção 11) e pode transferi-los para os Estados Unidos, com uma garantia do capítulo V do RGPD: o Quadro de Privacidade de Dados UE-EUA ou as Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia.

8. Os teus direitos

Se és profissional com conta na Nerela, ou paciente de um profissional que a usa, tens direito a aceder, retificar, apagar, limitar o tratamento, opor-te, e à portabilidade dos teus dados pessoais. Se és paciente, o pedido deve normalmente ser dirigido em primeiro lugar ao teu profissional (o responsável pelo tratamento dos teus dados clínicos); nós apoiamos tecnicamente esse pedido.

Para exercer estes direitos sobre os dados da tua conta profissional, escreve para admin@nerela.eu. Os dados dos teus pacientes podes consultá-los, corrigi-los e apagá-los diretamente na Aplicação. Para a portabilidade, podes exportar os dados nas Definições, na secção de privacidade e dados, quando essa opção estiver disponível na tua conta, ou pedir-nos uma cópia para admin@nerela.eu, que te enviamos num prazo de 30 dias, num formato estruturado e de uso corrente.

9. Segurança e monitorização de erros

Os dados em trânsito viajam sempre cifrados (HTTPS/TLS). O isolamento entre profissionais é feito ao nível da base de dados (Row Level Security no Supabase), não só na aplicação.

Se ativarmos o Sentry (monitorização de erros), este está configurado com uma política de privacidade estrita: não enviamos o corpo de pedidos, parâmetros de query, cookies de sessão, nem o conteúdo de notas de sessão. Não usamos gravação de sessão ("session replay") nem qualquer captura visual do ecrã. Mensagens de erro passam por um filtro que tenta remover automaticamente emails, telefones e números de identificação fiscal antes de saírem do nosso servidor.

10. Menores

A Nerela é uma ferramenta para profissionais, não para uso direto por pacientes menores de idade. Dados de pacientes menores podem ser tratados pelo profissional responsável pelo seu acompanhamento, sob a mesma base legal aplicável à relação terapêutica.

11. Visitantes dos nossos sites: publicidade e medição

Em nerela.eu e nerela.lat — o site público; a aplicação app.nerela.eu não leva publicidade — o responsável pelo tratamento é a sociedade da secção 1. Sem a tua autorização só guardamos de que campanha ou ligação chegas (cookies nerela_attrib e nerela_utm, descritas na Política de Cookies), para saber o que traz cada registo.

Se aceitares a publicidade no aviso de cookies, medimos e otimizamos os nossos anúncios com a Google Ads e com o píxel da Meta (Facebook e Instagram). O píxel da Meta só é carregado depois de aceitares a publicidade e envia à Meta os identificadores do navegador (as cookies _fbp e _fbc e, se chegas de um anúncio, o identificador de clique do Facebook), o endereço IP, o navegador, a página que visitas e os eventos da visita: ver a página, carregar no botão de registo ou carregar no botão do WhatsApp. Não enviamos à Meta nada da aplicação nem dados de pacientes. A base legal é o teu consentimento (artigo 6.º, n.º 1, alínea a) do RGPD), que podes retirar quando quiseres na ligação «Cookies» do rodapé do site, sem que isso afete o que foi tratado antes.

Se aceitaste a publicidade e depois crias uma conta, o nosso servidor pode comunicar à Meta que te registaste, sem qualquer dado clínico, para podermos medir que anúncio gerou o registo: usa os identificadores do navegador acima e dados de contacto da conta cifrados com hash antes de saírem do nosso servidor. Se não aceitaste a publicidade, não se envia nada.

A Meta não é nossa subcontratante: quanto aos dados do píxel, atua como responsável pelo tratamento, de forma independente ou em conjunto connosco consoante a fase do tratamento, e trata-os segundo as suas próprias condições e a sua política de privacidade. Para exercer os teus direitos sobre os dados desta secção, escreve para admin@nerela.eu.

12. Alterações a esta política

Podemos atualizar esta política para refletir mudanças no serviço ou na lei aplicável. Alterações materiais são comunicadas por email ou através de um aviso na Aplicação.

13. Autoridade de controlo

Tens o direito de apresentar reclamação junto da autoridade de controlo competente — em Portugal, a Comissão Nacional de Proteção de Dados (CNPD); em Espanha, a Agencia Española de Protección de Datos (AEPD) — sem prejuízo de qualquer outra via administrativa ou judicial.

14. Contacto

Para qualquer questão sobre esta política ou sobre o tratamento dos teus dados, escreve para admin@nerela.eu. Respondemos ao mesmo endereço que consta na secção 1.