Acordo de tratamento de dados

Acordo de Tratamento de Dados (DPA)

Resumo Rápido

• Sobre o que é esta página: Como a Eleva guarda os registos de sessão para especialistas e clínicas, enquanto sua subcontratante nos termos do artigo 28.º do RGPD.
• A Eleva.care é um marketplace de intermediação e não presta cuidados de saúde; os cuidados clínicos são prestados por especialistas independentes e habilitados.
• Para dados de plataforma (contas, marcações, pagamentos): a Eleva.care é o Responsável pelo Tratamento.
• Para notas/ficheiros clínicos criados por especialistas: o especialista é o Responsável; a Eleva.care armazena‑os em segurança.
• Os registos de sessão são guardados na UE (Frankfurt), protegidos por cifra e controlos de acesso rigorosos. A secção 12 indica onde cada fornecedor trata dados, incluindo fora da UE.
• Questões? Contacte privacy@eleva.care (a Eleva está a nomear um encarregado da proteção de dados externo).

Este DPA explica como a Eleva.care trata dados pessoais—de forma clara e simples.

A Eleva.care é um marketplace de intermediação que liga membros a profissionais de saúde independentes, que prestam as sessões. A Eleva.care não presta cuidados de saúde.

1) Quem faz o quê

• A Eleva.care é um marketplace de intermediação: os cuidados são prestados por profissionais independentes e habilitados, e a Eleva.care não presta cuidados de saúde.
• Dois papéis:
  • Responsável (operações de plataforma: contas, marcações, pagamentos, suporte)
  • Subcontratante (notas/ficheiros clínicos criados por profissionais: armazenamos em segurança sob instruções)

2) Quando somos Responsável (plataforma)

• Usamos subcontratantes de confiança para operar a plataforma. A secção 12 indica-os, com as respetivas regiões e salvaguardas.
  • Início de sessão e sincronização de calendário: Google e Microsoft, quando escolhidos pelo titular (responsáveis independentes)
  • Pagamentos: Stripe (PCI DSS L1), que também atua como responsável independente pelas suas próprias obrigações legais
• Exigimos DPAs/SCCs, controlos de segurança e residência de dados na UE sempre que possível.

3) Quando somos Subcontratante (para especialistas)

• Os especialistas são Responsáveis pelos dados clínicos; nós somos Subcontratante. Neste acordo, "especialista" inclui uma clínica que ofereça serviços através de uma Equipa na Eleva.
• Atuamos apenas com instruções documentadas, ciframos dados (em trânsito e em repouso) e aplicamos RBAC e logs de auditoria.
• Os registos de sessão são guardados na Neon (Frankfurt) e os documentos de sessão carregados no Cloudflare R2 (jurisdição UE). A secção 12 indica todos os subcontratantes que os podem tratar. Avisamos antes de qualquer alteração.

O que a Eleva trata por sua conta (artigo 28.º, n.º 3, do RGPD)

• Objeto: conservar e transmitir os registos de sessão que cria para os membros que acompanha na Eleva.
• Duração: enquanto este acordo estiver em vigor e, depois, durante o prazo de conservação da secção 6, salvo instrução sua de eliminação antecipada quando a lei o permita.
• Natureza e finalidade: conservação encriptada, apresentação a si e ao membro com quem a partilha, exportação, transcrição em direto e rascunhos com IA quando o membro consente, e eliminação.
• Tipos de dados pessoais: dados de identificação e contacto, dados da marcação e dados de saúde (respostas ao questionário inicial, notas de sessão, transcrições, relatórios e ficheiros carregados para uma sessão).
• Categorias de titulares: os membros que acompanha na Eleva.

4) Segurança em resumo

• TLS 1.2 ou superior em trânsito; AES‑256‑GCM em repouso (dados clínicos)
• Menor privilégio/RBAC; auditoria; backups cifrados
• SLA de notificação de violação aos Responsáveis em 24h (dados clínicos)

5) Transferências internacionais

• Damos prioridade à residência de dados na UE. Quando um fornecedor ou o seu pessoal fora do EEE pode aceder a dados, recorremos ao Quadro de Privacidade de Dados UE–EUA (DPF), se o fornecedor for certificado, e às cláusulas contratuais-tipo (SCCs), com medidas suplementares (cifra, controlo de chaves, registo de acessos, contestação de pedidos excessivos). A secção 12 indica as salvaguardas de cada fornecedor.

6) Retenção e eliminação

• Dados de plataforma: apenas o necessário ou exigido por lei
• Registos de sessão (dados clínicos): conservados durante 7 anos após a última sessão, para que cumpra o seu dever de conservação e os membros mantenham acesso aos relatórios já partilhados.
• Quando este acordo termina, conservamo-los por sua instrução documentada durante o resto desse prazo. Pode pedir uma exportação a qualquer momento. No fim do prazo, ou antes por sua instrução quando a lei o permita, eliminamo-los, e as cópias em backups encriptados são substituídas à medida que os backups rodam.

7) Direitos dos titulares

• Plataforma (Responsável): Tratamos acesso, retificação, apagamento, portabilidade, limitação e oposição.
• Clínico (Subcontratante): Fornecemos ferramentas para que os especialistas cumpram pedidos dos membros.

8) Deveres do profissional (como Responsável)

• Obter consentimentos quando necessário; assegurar base legal (RGPD art. 9.º, n.º 2, al. h))
• Conservação: por defeito, 7 anos após a última sessão (secção 6); pode dar instrução de outro prazo quando as suas regras profissionais o permitam
• Responder a pedidos de direitos; manter a exatidão; ter seguro de responsabilidade profissional

9) Os nossos deveres (como Subcontratante)

• Seguir instruções; proteger dados; apoiar direitos e DPIAs; notificar violações sem demora; devolver/eliminar dados a pedido; limitar transferências; confidencialidade
• Instruções ilícitas: informamos imediatamente o especialista se considerarmos que uma instrução viola o RGPD ou outra legislação da União ou dos Estados-Membros em matéria de proteção de dados.
• Auditorias: disponibilizamos toda a informação necessária para demonstrar o cumprimento do artigo 28.º do RGPD e permitimos e contribuímos para auditorias, incluindo inspeções, conduzidas pelo especialista ou por um auditor mandatado para o efeito. Os pedidos devem ser enviados para privacy@eleva.care com uma antecedência razoável. As auditorias devem salvaguardar a confidencialidade e a segurança dos dados de outros especialistas e membros.
• Subcontratantes: só recorremos a outro subcontratante mediante contrato escrito que lhe imponha as mesmas obrigações de proteção de dados previstas neste DPA, incluindo garantias suficientes de medidas técnicas e organizativas adequadas. Continuamos plenamente responsáveis perante o especialista pelo cumprimento dessas obrigações por parte de cada subcontratante.

10) Responsabilidade

• Eleva.care: responsável pela operação, segurança e conformidade organizacional/técnica/administrativa da plataforma, conforme descrito.
• Especialistas: responsáveis por decisões clínicas, resultados dos cuidados e conformidade enquanto Responsáveis pelos dados clínicos.

11) Atualizações, lei e litígios

• As alterações seguem a secção 19 do Acordo de especialista; as alterações de subcontratantes seguem a secção 12.
• Lei aplicável: Portugal; foro: tribunais de Portugal

---

12) Subcontratantes e aviso de alterações

Recorremos a fornecedores cuidadosamente avaliados para operar a plataforma. Cada um recebe apenas os dados mínimos necessários.

Subcontratantes de registos de sessão (a Eleva como subcontratante)

O especialista dá à Eleva autorização geral por escrito para recorrer a estes subcontratantes. Cada um está vinculado por um acordo de tratamento de dados.

Outros fornecedores (a Eleva como responsável)

Estes fornecedores não recebem registos de sessão.

A Beehiiv disponibiliza o formulário de subscrição da newsletter Femme Focus nas páginas da Eleva. O formulário só carrega depois de o visitante autorizar marketing nas Definições de cookies.

Aviso de alterações: atualizaremos esta lista e daremos aviso com pelo menos 30 dias de antecedência antes de adicionar ou substituir subcontratantes (salvo alterações imediatas por segurança, conformidade ou continuidade). Os Responsáveis podem opor‑se com fundamentos razoáveis e documentados. Agiremos de boa‑fé para mitigar ou, se irresolúvel, permitir a cessação do serviço para o tratamento afetado sem penalização.

Em caso de divergência entre versões linguísticas, prevalece a versão em português.

Proteção de dados: privacy@eleva.care · Operador: BÚZIOS E TARTARUGAS - LDA (Eleva.care), NIPC/NIF 515001708, Rua Gil Vicente, 2, 2775‑198 Parede, Portugal. Suporte support@eleva.care.