Política de Privacidade

1. Quem somos

Salvo nos casos indicados na secção 3, o responsável pelo tratamento é a AI Reporting, Lda, NIF 519500199, com sede em Lisboa, Portugal, identificada abaixo.

Disponibilizamos software (uma aplicação web e uma extensão de navegador) que ajuda radiologistas e outros profissionais de imagiologia médica a transformar achados ditados em relatórios redigidos com inteligência artificial e validados pelo profissional.

Para qualquer questão ou pedido relativo à privacidade, contacte-nos através do nosso formulário de contacto.

2. A quem se aplica esta política

Esta política abrange:

• os visitantes do nosso website;
• as pessoas que nos contactam;
• os profissionais com conta no serviço, e as clínicas ou organizações onde trabalham;
• os doentes cuja informação possa constar de ditados e relatórios tratados por conta de um profissional ou clínica.

O serviço destina-se exclusivamente a profissionais e organizações de saúde, não a consumidores nem a doentes. A utilização do serviço rege-se também pelos nossos Termos de Serviço.

3. As nossas duas funções

Enquanto responsável pelo tratamento, decidimos como e para que são tratados os dados pessoais relativos ao nosso website, aos pedidos que nos são enviados, às contas de utilizador e ao apoio, e à faturação. Quanto a estes dados, contacte-nos diretamente.

Enquanto subcontratante, atuamos por conta do profissional ou da clínica que utiliza o serviço. São eles que decidem para que e como é tratada a informação dos doentes contida nos seus ditados e relatórios: são o responsável pelo tratamento e nós somos o seu subcontratante. Como exige o artigo 28.º do RGPD, tratamos esses conteúdos apenas mediante as suas instruções documentadas.

Os doentes devem dirigir as suas questões e pedidos ao profissional de saúde ou à clínica responsável pelos seus cuidados, a quem cabe informá-los. Se um doente nos contactar, encaminhamos o pedido para esse profissional ou clínica, quando os consigamos identificar.

4. Dados que recolhemos e a sua origem

Visitantes do website (dados recolhidos a partir do seu dispositivo):

• dados técnicos enviados pelo navegador em cada pedido: endereço IP, tipo de navegador e de dispositivo (user agent), página pedida, data e hora, registados nos registos técnicos do website;
• o código do país associado ao seu endereço IP, guardado num cookie de idioma durante uma hora, e o idioma que escolher, se escolher algum (secção 7).

Pessoas que nos contactam (dados fornecidos por si):

• nome, endereço de email, clínica ou organização, assunto, mensagem e o idioma do website que utilizou;
• o seu endereço IP, usado apenas para limitar abusos do formulário, mantido apenas durante o tempo que essa verificação exige e não conservado com a sua mensagem; como qualquer pedido ao website, o envio consta também dos registos técnicos acima referidos.

Titulares de conta:

• dados fornecidos por si: endereço de email, nome, título profissional, fotografia de perfil, idioma e outras preferências, modelos de relatório, conversas de apoio e opiniões sobre o serviço, incluindo anexos;
• dados gerados pela utilização do serviço: histórico de relatórios, registos de segurança e de auditoria (inícios de sessão, atividade da conta, endereço IP, user agent) e registos de utilização, que mostram como o serviço é usado (por exemplo, quando foi gerado um relatório e quanto tempo demorou) e podem incluir instruções curtas que ditou à inteligência artificial, como alterações a uma proposta;
• quando existam planos pagos, dados fornecidos por si e pelo prestador de serviços de pagamento: referências de cliente e de subscrição, plano, dados de faturação (nome, número de contribuinte, morada) e estado do pagamento. Nunca recebemos os dados completos de cartões de pagamento; é o prestador de serviços de pagamento que os recolhe diretamente.

O conteúdo dos relatórios, e qualquer informação de doentes contida em modelos, conversas de apoio, opiniões sobre o serviço, anexos ou instruções ditadas, são conteúdos clínicos que tratamos por conta do profissional ou clínica (secções 3 e 6). Não inclua identificadores de doentes em pedidos de apoio nem em opiniões sobre o serviço.

Doentes (dados fornecidos pelo profissional ou clínica): informação contida em ditados, transcrições e relatórios, que pode incluir dados de saúde (secção 6).

Os dados da conta são necessários para criar a conta e prestar o serviço; sem eles, não podemos abrir a sua conta. Os dados de faturação são exigidos por lei para emitir faturas nos planos pagos. A informação do formulário de contacto é necessária para lhe respondermos.

5. Finalidades e fundamentos jurídicos

Quando somos responsável pelo tratamento, baseamo-nos no artigo 6.º, n.º 1, do RGPD, da seguinte forma:

• Funcionamento e segurança do website, incluindo registos técnicos e prevenção de abusos: interesse legítimo num website seguro e disponível (alínea f)).
• Apresentação do website no seu idioma, incluindo o cookie de idioma: interesse legítimo em apresentá-lo num idioma que compreenda (alínea f)).
• Resposta a pedidos de contacto: diligências pré-contratuais a seu pedido, com vista a um contrato a celebrar consigo (alínea b)); quando escreve em nome de uma organização ou sobre outro assunto, interesse legítimo em responder a quem nos escreve (alínea f)).
• Prestação do serviço, gestão de contas e apoio: execução do contrato celebrado consigo (alínea b)) ou, quando o contrato é celebrado com a sua organização, interesse legítimo, nosso e da sua organização, em prestar aos seus profissionais o serviço que contratou (alínea f)).
• Segurança, registos de auditoria e prevenção de utilizações indevidas: interesse legítimo em proteger o serviço, os seus utilizadores e os seus conteúdos (alínea f)), que serve também os nossos deveres de segurança nos termos do artigo 32.º do RGPD.
• Funcionamento e melhoria do serviço através de registos de utilização: interesse legítimo em manter um serviço fiável (alínea f)). As instruções ditadas contidas nos registos de utilização são conteúdos clínicos e são tratadas conforme descrito na secção 6.
• Faturação e contabilidade: execução de contrato (alínea b)) e obrigações fiscais e contabilísticas (alínea c)).
• Mensagens de serviço, como avisos de segurança ou alterações aos nossos termos: o mesmo fundamento da prestação do serviço, ou obrigação legal (alínea c)).
• Declaração, exercício ou defesa de direitos num processo judicial: interesse legítimo (alínea f)).

Quando nos baseamos no interesse legítimo, ponderámo-lo face aos seus interesses e direitos; pode pedir-nos pormenores e opor-se (secção 13).

Não usamos dados pessoais para publicidade, não os vendemos e não criamos perfis publicitários.

Quanto aos conteúdos clínicos, o fundamento jurídico é o invocado pelo profissional ou clínica (secção 6).

6. Conteúdos clínicos

Quando um profissional ou clínica utiliza o serviço, tratamos por sua conta ditados, transcrições e relatórios gerados, bem como qualquer informação de doentes contida em modelos, conversas de apoio, opiniões sobre o serviço ou instruções ditadas. Estes conteúdos podem incluir dados de saúde, uma categoria especial de dados nos termos do artigo 9.º do RGPD. O fundamento jurídico é o invocado pelo profissional ou clínica enquanto responsável pelo tratamento, normalmente o diagnóstico médico e a prestação de cuidados de saúde por um profissional sujeito a sigilo ou sob a responsabilidade deste (artigo 9.º, n.º 2, alínea h), e n.º 3, do RGPD e artigo 29.º da Lei n.º 58/2019). Estamos obrigados a um dever de sigilo.

Regras que aplicamos:

• O áudio é transcrito à medida que é ditado. Não conservamos o áudio; guardamos apenas a duração da gravação.
• Antes de os conteúdos serem guardados, um processo automático remove os identificadores, como nomes, números de identificação, contactos e datas de nascimento. Se esse processo não puder ser concluído, o pedido é recusado. A remoção automática pode não detetar algum identificador e nem sempre torna os conteúdos anónimos, pelo que continuamos a protegê-los como dados pessoais.
• Não usamos estes conteúdos para treinar modelos de inteligência artificial.
• Mediante as instruções documentadas do profissional ou clínica, e para manter e melhorar o serviço que utilizam, testamos a qualidade do serviço usando apenas material do qual foram removidos os identificadores.

7. Cookies e tecnologias semelhantes

Os cookies são pequenos ficheiros guardados no seu dispositivo; o armazenamento local do navegador é uma tecnologia semelhante. Nos termos da lei portuguesa (Lei n.º 41/2004, na sua redação atual), guardar informação no seu dispositivo ou aceder-lhe exige o seu consentimento, salvo quando seja estritamente necessário para prestar um serviço que pediu expressamente.

Utilizamos apenas o seguinte:

• Início de sessão (estritamente necessário): na aplicação web e na extensão de navegador, cookies de sessão que mantêm a sua sessão iniciada em segurança, e o armazenamento local de que o serviço precisa para funcionar. Sem eles, não é possível utilizar o serviço.
• Cookie funcional (idioma): quando visita o website, definimos um cookie que guarda apenas o código do país associado ao seu endereço IP, para que o website seja apresentado no idioma adequado. Expira ao fim de uma hora e não é usado para o seguir nem para definir perfis. O seu fundamento jurídico é o nosso interesse legítimo em apresentar o website num idioma que compreenda.
• Escolha de idioma: se escolher um idioma no website, o armazenamento local do navegador guarda essa escolha até a apagar.

Não usamos ferramentas analíticas, medição de audiência, cookies de publicidade, píxeis de redes sociais nem rastreamento por terceiros. Antes de introduzirmos qualquer outro cookie ou tecnologia semelhante, atualizaremos esta política e pediremos o seu consentimento prévio, que poderá retirar a qualquer momento.

Pode apagar os cookies e o armazenamento local nas definições do navegador. Se bloquear os cookies de sessão, não conseguirá iniciar sessão.

8. Destinatários

Só partilhamos dados pessoais na medida do necessário, com:

• prestadores de serviços que atuam segundo as nossas instruções, nas seguintes categorias: alojamento em nuvem e base de dados; transcrição de voz; remoção automática de identificadores; geração de texto por inteligência artificial; registo e monitorização; envio e alojamento de email; processamento de pagamentos; autenticação. Só podem tratar dados pessoais segundo as nossas instruções e devem garantir a sua confidencialidade e segurança. Quanto aos conteúdos clínicos, atuam como nossos subcontratantes ulteriores;
• o prestador de serviços de pagamento, que pode também atuar como responsável pelo tratamento autónomo quanto às suas próprias obrigações legais, como a prevenção da fraude;
• consultores contabilísticos, fiscais e jurídicos sujeitos a sigilo profissional, quando necessário;
• autoridades públicas, tribunais e reguladores, quando a lei o exija.

9. Transferências internacionais

Alojamos o nosso website e o nosso serviço, e armazenamos os respetivos dados, na União Europeia.

Alguns dos nossos prestadores pertencem a grupos sediados fora do Espaço Económico Europeu (EEE). Sempre que haja transferência de dados pessoais para fora do EEE, incluindo quando lhes seja feito acesso a partir de fora dele, asseguramos que está coberta por uma garantia prevista no capítulo V do RGPD: uma decisão de adequação da Comissão Europeia, ou cláusulas contratuais-tipo aprovadas pela Comissão, acompanhadas de medidas adicionais quando necessário.

O prestador de serviços de pagamento, quando atua como responsável pelo tratamento autónomo (secção 8), trata os dados nos termos da sua própria política de privacidade. Pode pedir informação sobre as nossas garantias, e uma cópia das mesmas, através do nosso formulário de contacto.

10. Conservação

Conservamos os dados pessoais apenas durante o tempo que a sua finalidade exige:

• Registos técnicos do website: durante o período necessário para a segurança e o funcionamento, sendo depois apagados ou anonimizados.
• Cookie de idioma: uma hora. A escolha de idioma no armazenamento local mantém-se até a apagar.
• Endereço IP do formulário de contacto: não é conservado com o pedido; é mantido apenas durante o tempo que a verificação de abusos exige.
• Pedidos de contacto e correspondência: durante o tempo necessário para tratar o pedido e o respetivo seguimento, sendo depois apagados.
• Dados da conta, modelos, histórico de relatórios, conversas de apoio, opiniões sobre o serviço e registos de utilização: enquanto a conta existir. Não existe um prazo de eliminação automática, e pode exportar os relatórios e modelos a qualquer momento. Quando uma conta é eliminada, os respetivos relatórios, modelos, conversas de apoio, opiniões sobre o serviço e registos de utilização são apagados.
• Registos de segurança e de auditoria: durante o período necessário para a segurança e o funcionamento; quando uma conta é eliminada, os respetivos registos são anonimizados.
• Faturas e registos contabilísticos: dez anos a contar do final do ano a que respeitam, conforme exigido pela legislação fiscal e contabilística portuguesa.
• Conteúdos clínicos: de acordo com as instruções do profissional ou clínica, e nos termos acima indicados para os conteúdos da conta.

Estes prazos aplicam-se salvo se a lei exigir um prazo mais longo, caso em que conservamos apenas o exigido, durante esse prazo. Os dados necessários para um processo judicial podem ser conservados até à sua resolução.

11. Segurança

Aplicamos medidas técnicas e organizativas adequadas ao risco, incluindo a cifragem dos dados em trânsito, o acesso limitado ao necessário e protegido por autenticação, registos de segurança e de auditoria, as salvaguardas para conteúdos clínicos descritas na secção 6, e obrigações de segurança para os nossos prestadores. Revemos estas medidas à medida que o serviço evolui.

Em caso de violação de dados pessoais, notificamos a CNPD sem demora injustificada e, sempre que possível, no prazo de 72 horas após dela termos conhecimento, quando exigido, e informamos as pessoas afetadas quando exista um provável risco elevado para elas. Quanto aos conteúdos clínicos, informamos o profissional ou clínica sem demora injustificada.

12. Os seus direitos

Tem o direito de:

• aceder aos seus dados pessoais e obter uma cópia;
• obter a retificação de dados inexatos ou incompletos;
• obter o apagamento dos seus dados quando deixe de existir fundamento válido para os conservar;
• obter a limitação do tratamento, por exemplo enquanto verificamos um pedido;
• receber os dados que nos forneceu num formato estruturado, de uso corrente e de leitura automática, e transmiti-los a outra entidade, quando o tratamento seja automatizado e se baseie em contrato ou consentimento;
• opor-se ao tratamento (secção 13);
• retirar o consentimento a qualquer momento, quando o tratamento nele se baseie, sem comprometer o tratamento anterior.

Para os exercer, utilize o nosso formulário de contacto; podemos pedir-lhe que confirme a sua identidade. Respondemos no prazo de um mês; em pedidos complexos ou numerosos, o prazo pode ser prorrogado por mais dois meses, e informá-lo-emos disso no primeiro mês. O exercício é gratuito; só perante pedidos manifestamente infundados ou excessivos podemos cobrar uma taxa razoável ou recusá-los, nos termos do RGPD. Doentes: ver secção 3.

13. Direito de oposição

Pode opor-se a qualquer momento, por motivos relacionados com a sua situação particular, ao tratamento baseado nos nossos interesses legítimos (secção 5), incluindo os registos técnicos do website, o cookie de idioma, os registos de utilização e os registos de segurança. Deixaremos então de o efetuar, salvo se apresentarmos razões imperiosas e legítimas que prevaleçam sobre os seus interesses, direitos e liberdades, ou se os dados forem necessários para um processo judicial.

Para se opor, utilize o nosso formulário de contacto.

14. Reclamações

Tem o direito de apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), a autoridade de controlo portuguesa, em www.cnpd.pt, ou à autoridade de controlo do Estado-Membro da UE ou do EEE onde reside, onde trabalha ou onde tenha ocorrido a alegada infração. Pode, se quiser, colocar primeiro a questão através do nosso formulário de contacto, mas não é obrigatório.

15. Decisões automatizadas e inteligência artificial

A inteligência artificial redige propostas de relatório, e uma proposta é apenas isso. O profissional revê-a sempre, edita-a quando necessário e valida-a, e continua a ser responsável pelo relatório final.

Não tomamos decisões exclusivamente baseadas no tratamento automatizado, incluindo a definição de perfis, que produzam efeitos na sua esfera jurídica ou que o afetem significativamente de forma similar (artigo 22.º do RGPD). Não usamos dados pessoais nem conteúdos clínicos para treinar modelos de inteligência artificial.

16. Menores

O nosso website e o nosso serviço destinam-se a profissionais e organizações de saúde e não se dirigem a menores de 18 anos. Não recolhemos intencionalmente dados pessoais de menores; se considerar que um menor nos enviou dados, informe-nos através do nosso formulário de contacto e apagá-los-emos. A informação de doentes tratada por conta de um profissional ou clínica pode respeitar a doentes de qualquer idade e rege-se pela secção 6.

17. Alterações e versões linguísticas

Podemos atualizar esta política quando o nosso tratamento de dados ou a lei se alterem; a data no topo indica a versão em vigor. Informaremos os titulares de conta de alterações significativas por email ou no serviço, antes de produzirem efeitos.

Esta política está disponível em português, inglês e polaco. A versão portuguesa é a versão de referência e prevalece em caso de divergência.