Contrato de Tratamento de Dados

Este contrato dá cumprimento ao artigo 28.º do Regulamento Geral sobre a Proteção de Dados (UE) 2016/679 e, quando aplicável, à Lei Geral de Proteção de Dados Pessoais do Brasil. Faz parte integrante do Contrato de Prestação de Serviço celebrado entre o cliente e a Rummest.

Em caso de divergência entre este contrato e o Contrato de Prestação de Serviço quanto ao tratamento de dados pessoais, prevalece este.

Os anexos específicos de cada solução fazem parte integrante deste contrato e prevalecem sobre o corpo do contrato no que for específico dessa solução.

O cliente é o responsável pelo tratamento: decide as finalidades e os meios, e responde perante os titulares dos dados e perante a autoridade de controlo.

A Rummest é subcontratante: trata os dados por conta do cliente, apenas na medida necessária para prestar o serviço, e segundo as instruções do cliente.

Quanto aos dados de identificação e faturação do próprio cliente, e aos dados dos utilizadores com conta, somos responsáveis pelo tratamento e aplica-se a nossa Política de Privacidade. Este contrato não abrange esses tratamentos.

Nenhuma das partes é responsável conjunta pelo tratamento do outro. Não determinamos as finalidades pelas quais o cliente atende as pessoas que o procuram.

As instruções do cliente são dadas por três vias, todas com o mesmo valor:

1. o Contrato de Prestação de Serviço e este contrato, que constituem as instruções iniciais e permanentes;
2. a configuração que o cliente faz na sua conta — prazos de conservação, regras do agente, permissões, integrações;
3. instruções escritas adicionais, quando acordadas entre as partes.

Não tratamos os dados para finalidades próprias. Em particular, não os utilizamos nem autorizamos terceiros a utilizá-los para treinar modelos de linguagem.

Se considerarmos que uma instrução do cliente viola a lei de proteção de dados, informamo-lo sem demora e podemos suspender a execução dessa instrução até esclarecimento.

Se a lei nos obrigar a tratar dados além das instruções do cliente, informamo-lo antes de o fazer, salvo se a própria lei o proibir.

• Só têm acesso aos dados do cliente as pessoas da nossa equipa que precisem dele para prestar o serviço, e apenas na medida dessa necessidade.
• Essas pessoas estão vinculadas por dever de confidencialidade que subsiste ao fim da relação de trabalho.
• Os acessos são atribuídos por papel e ficam registados em auditoria.

Aplicamos as medidas técnicas e organizativas descritas no Anexo II, adequadas ao risco, e mantemo-las atualizadas. Podemos substituir uma medida por outra de eficácia equivalente ou superior, sem reduzir o nível de proteção.

O cliente é responsável pela segurança do que está sob o seu controlo: a gestão dos seus utilizadores e permissões, a exigência de autenticação em dois passos, e a decisão sobre que dados introduz no serviço.

O cliente autoriza-nos a recorrer aos subcontratantes ulteriores listados no Anexo III. Cada um está vinculado por contrato com obrigações não menos protetoras do que as deste, e mantemo-nos responsáveis perante o cliente pelo que eles fazem.

Antes de acrescentar ou substituir um subcontratante ulterior, avisamos o cliente por correio eletrónico com pelo menos 30 dias de antecedência. O cliente pode opor-se, com fundamento em razões de proteção de dados, no prazo de 15 dias a contar do aviso; as partes procuram então uma solução e, não sendo possível, o cliente pode resolver o contrato quanto à parte do serviço afetada, sem penalização. Na falta de oposição nesse prazo, a alteração considera-se autorizada.

O serviço permite ao cliente responder por si aos pedidos de acesso, retificação, apagamento, limitação e portabilidade, através das funcionalidades da sua conta.

• Se um titular nos dirigir diretamente um pedido relativo a dados tratados por conta do cliente, não lhe respondemos de mérito: encaminhamo-lo para o cliente e informamos o titular de que o fizemos.
• Quando o cliente não consiga cumprir o pedido pelas funcionalidades disponíveis, prestamos assistência razoável, tendo em conta a natureza do tratamento.

Notificamos o cliente sem demora injustificada e, em qualquer caso, no prazo máximo de 48 horas depois de tomarmos conhecimento de uma violação de dados pessoais que afete os dados tratados por sua conta.

A notificação inclui, na medida do que seja conhecido no momento: a natureza da violação, as categorias e o número aproximado de titulares e de registos afetados, as consequências prováveis, as medidas tomadas ou propostas, e um ponto de contacto nosso. Completamos a informação faseadamente, à medida que a investigação avance.

A notificação à autoridade de controlo e aos titulares, quando devida, é do cliente, na sua qualidade de responsável. Prestamos-lhe a informação e a assistência razoável para o efeito.

Prestamos ao cliente a informação de que dispomos e a assistência razoável para a realização de avaliações de impacto sobre a proteção de dados e para eventuais consultas prévias à autoridade de controlo, quando estas resultem da utilização do serviço.

A aplicação e as bases de dados estão alojadas no Brasil (São Paulo), país com decisão de adequação da Comissão Europeia (Decisão de Execução (UE) 2026/179). O armazenamento de ficheiros, a gestão de segredos e as cópias de segurança estão na União Europeia (Bélgica).

Há ainda tratamentos que envolvem subcontratantes ulteriores estabelecidos nos Estados Unidos da América, identificados no Anexo III. As transferências para os Estados Unidos assentam nas Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia, complementadas por avaliação do impacto da transferência e por medidas técnicas adicionais, designadamente cifra em trânsito e em repouso e minimização dos dados enviados. Quando o subcontratante esteja certificado no Data Privacy Framework entre a União Europeia e os Estados Unidos, invocamos igualmente a decisão de adequação aplicável.

As transferências para os Estados Unidos assentam nas Cláusulas Contratuais-Tipo (SCCs) estabelecidas na Decisão de Execução (UE) 2021/914, Módulo 3 (Subcontratante para Subcontratante), nos termos do artigo 46.º, n.º 2, alínea c) do RGPD. Estamos a estabelecer formalmente esses contratos com cada fornecedor; os grandes prestadores (OpenAI, Google, Amazon) disponibilizam o acordo de processamento de dados para aceitação eletrónica nas respetivas consolas de administração. Com a TypeSafe AI, o acordo de tratamento de dados, que inclui as Cláusulas Contratuais-Tipo (Módulos 2 e 3), integra as condições de cliente aceites pela Rummest; a TypeSafe AI não utiliza os dados recebidos para treinar os seus modelos, e foi-lhe pedida a retenção zero dos conteúdos enviados. As avaliações de impacto das transferências serão produzidas progressivamente para cada cadeia de subcontratação.

Disponibilizamos ao cliente a informação necessária para demonstrar o cumprimento das obrigações deste contrato, designadamente a descrição das medidas de segurança e a lista atualizada de subcontratantes ulteriores, mantidas no Centro de Confiança.

O cliente pode auditar o cumprimento deste contrato, uma vez por ano civil, com aviso prévio razoável, em horário de expediente, sem perturbar a operação e sem acesso a dados de outros clientes. Auditorias adicionais são admitidas quando exigidas pela autoridade de controlo ou após uma violação de dados que afete o cliente.

Nos termos do artigo 28.º, n.º 3, alínea h) do RGPD, o direito de auditoria pode ser exercido por questionário de segurança e mediante solicitação dos relatórios de auditorias realizadas por terceiros. Auditorias presenciais são admitidas mediante causa justificada documentada, com aviso prévio de 15 dias úteis e suportando o cliente os custos associados. Esta formulação é conforme com as orientações do EDPB e da CNPD para subcontratantes.

• Durante a vigência do contrato e até 30 dias após a sua cessação, o cliente pode exportar os seus dados em formato estruturado e de uso corrente.
• Findo esse período, eliminamos os dados tratados por conta do cliente no prazo de 60 dias, incluindo os que constem das cópias de segurança.
• Conservamos apenas o que a lei nos obrigue a conservar, e apenas para essa finalidade.
• A pedido do cliente, confirmamos por escrito a eliminação.

Este contrato vigora enquanto tratarmos dados pessoais por conta do cliente, e as obrigações de confidencialidade e de eliminação subsistem depois disso.

Cada parte responde pelos danos causados por tratamento que viole as suas obrigações legais, nos termos do artigo 82.º do Regulamento.

A limitação de responsabilidade do Contrato de Prestação de Serviço aplica-se também a este contrato, sem prejuízo do que a lei imponha em contrário.

Sem prejuízo do disposto no artigo 82.º do RGPD quanto à responsabilidade perante os titulares dos dados, a limitação de responsabilidade entre as partes ao abrigo do Contrato de Prestação de Serviço é válida na relação B2B ao abrigo do direito português. Esta limitação não exclui a responsabilidade perante os titulares dos dados nem perante a autoridade de controlo.

Este contrato rege-se pela lei de Portugal e é competente o foro indicado no Contrato de Prestação de Serviço. A autoridade de controlo competente é a Comissão Nacional de Proteção de Dados (CNPD), em Portugal, www.cnpd.pt.

Para os clientes DentalDesk, o motivo da consulta e os restantes dados de saúde dos pacientes são tratados nos termos do Anexo IV, que prevalece sobre este anexo no que for específico.

Este anexo descreve o que está implementado e verificável. O Centro de Confiança indica, ao lado de cada medida, o que está em preparação e o que não existe — nomeadamente a auditoria independente, o teste de intrusão por terceiro e o plano escrito de resposta a incidentes. O cliente contrata sabendo disso.

A versão atualizada desta lista está no Centro de Confiança. Qualquer alteração é avisada ao cliente com pelo menos 30 dias de antecedência, nos termos da secção 6.

Este anexo acrescenta regras que só se aplicam quando o cliente é uma clínica dentária que utiliza o DentalDesk, e prevalece sobre o corpo deste contrato no que for diferente. Existe porque o motivo de uma consulta é um dado de saúde, que a lei trata como categoria especial de dados pessoais.

1.1. Âmbito. Este anexo aplica-se aos clientes que subscrevem o DentalDesk ou que usam o serviço para atender pacientes de uma clínica dentária, consultório ou outro prestador de cuidados de saúde oral.

1.2. Para efeitos deste anexo, «dados de saúde» são quaisquer dados relativos à saúde física ou mental de uma pessoa que revelem informação sobre o seu estado de saúde, incluindo o motivo da consulta, os sintomas descritos, os tratamentos em curso ou pretendidos, e a própria marcação numa especialidade clínica.

2.1. Papéis e fundamento de licitude. A clínica é a responsável pelo tratamento dos dados de saúde dos seus pacientes e é a ela que cabe o fundamento de licitude. A Rummest trata esses dados como subcontratante, exclusivamente por conta e segundo as instruções da clínica.

2.2. A clínica declara que trata os dados de saúde ao abrigo de um fundamento válido, designadamente:

• na União Europeia e em Portugal, a prestação de cuidados de saúde por profissional sujeito a sigilo (RGPD, artigo 9.º, n.º 2, alínea h), e n.º 3) ou, quando aplicável, o consentimento explícito do paciente (artigo 9.º, n.º 2, alínea a));
• no Brasil, a tutela da saúde, em procedimento realizado por profissionais de saúde (LGPD, artigo 11.º, II, alínea f)) ou, quando aplicável, o consentimento específico e destacado (artigo 11.º, I).

2.3. A clínica garante que o atendimento pelo serviço está abrangido pela informação que presta aos seus pacientes.

2.4. A marcação de uma primeira consulta dentária, antes de existir relação clínica, é abrangida pelo artigo 9.º, n.º 2, alínea h) do RGPD, enquanto atividade necessária à gestão do sistema de cuidados de saúde e ao início da prestação de cuidados, sob responsabilidade de profissional obrigado a sigilo profissional nos termos do artigo 9.º, n.º 3. A Rummest, enquanto subcontratante técnico, trata esses dados exclusivamente segundo as instruções documentadas da clínica.

3.1. Sigilo. Estamos vinculados, tal como todas as pessoas que por nossa conta possam ter acesso a dados de saúde, a um dever de sigilo equivalente ao dos profissionais de saúde, que subsiste após o fim do contrato.

3.2. O acesso da nossa equipa a conversas de clientes DentalDesk só ocorre quando indispensável para prestar o apoio pedido pela clínica, investigar um incidente ou cumprir uma obrigação legal. Esse acesso fica registado e é comunicado à clínica quando esta o pedir.

4.1. Minimização e limites do assistente. O serviço é configurado para recolher apenas o necessário à marcação: identificação e contacto do paciente, data e hora pretendidas, especialidade ou tipo de consulta e uma descrição breve do motivo, limitada ao tratamento dentário pretendido, salvo se a clínica pedir que não seja perguntado (ponto 4.4). A informação de saúde que vá além desse tratamento — doenças, gravidez, medicação, alergias, saúde mental, deficiência, dados genéticos, vida sexual ou consumo de tabaco — é ocultada nas notas da marcação, nas notificações à equipa da clínica e nos registos internos do serviço; a conversa em si, que a clínica consulta no painel, não é ocultada. Excetuam-se os pedidos de acessibilidade relativos à consulta, como acesso em cadeira de rodas, mobilidade reduzida, cão-guia ou intérprete de língua gestual, que são registados sem o diagnóstico que lhes está na origem.

4.2. O assistente não faz diagnóstico, não avalia sintomas, não recomenda tratamentos nem medicação e não decide urgências. Perante sinais de urgência descritos pelo paciente, encaminha-o para os contactos de urgência indicados pela clínica ou para os serviços de emergência (112 na União Europeia; 192, SAMU, no Brasil).

4.3. O serviço não recebe imagens nem ficheiros dos pacientes, incluindo documentos clínicos como radiografias, relatórios ou receitas. Se o paciente tentar enviá-los, o serviço recusa e pede-lhe que descreva por escrito o que pretende ou que contacte diretamente a clínica.

4.4. A pedido da clínica, feito ao suporte (suporte@rummest.com), configuramos o serviço para não perguntar o motivo da consulta; a informação de saúde para além do tratamento dentário continua, em qualquer caso, a nunca ser registada. Recomendamos que o peça quando o motivo não for necessário à marcação.

5.1. Medidas de segurança reforçadas. Além das medidas do Anexo II, aplicam-se aos dados de clientes DentalDesk as seguintes, com o estado atual de cada uma:

6.1. Subcontratantes ulteriores e transferências. Os dados de saúde só são enviados aos subcontratantes ulteriores estritamente necessários à geração de respostas e ao alojamento, listados no Anexo III.

6.2. Para clientes DentalDesk, damos preferência a fornecedores de modelos de linguagem com tratamento na União Europeia ou em país com decisão de adequação, e não enviamos dados de saúde a fornecedores que retenham o conteúdo para outras finalidades.

6.3. No Brasil, a comunicação de dados de saúde a terceiros com o objetivo de obter vantagem económica é proibida, salvo nas exceções legais relativas à prestação de serviços de saúde. Não comunicamos dados de saúde a terceiros para qualquer finalidade própria.

6.4. Para dados de saúde transferidos para fornecedores de modelos de linguagem nos EUA, são aplicáveis as SCCs Módulo 3 (Decisão de Execução (UE) 2021/914) complementadas por medidas técnicas adicionais (cifra em trânsito, minimização de dados e preferência por fornecedores sem retenção para treino). Para clínicas brasileiras, o Brasil dispõe de decisão de adequação da Comissão Europeia desde 26/01/2026 (Decisão 2026/179), pelo que as SCCs cobrem a cadeia completa.

7.1. Avaliação de impacto. A clínica é responsável por avaliar a necessidade de uma avaliação de impacto sobre a proteção de dados antes de usar o serviço. Fornecemos-lhe, a pedido, um documento-base com a descrição do tratamento, dos fluxos de dados, dos subcontratantes ulteriores e das medidas de segurança, para essa avaliação.

8.1. Violações de dados. Numa violação de dados pessoais que envolva dados de saúde, notificamos a clínica no prazo máximo de 24 horas, em vez das 48 horas previstas na secção 8.

9.1. Conservação e fim do contrato. Os dados de saúde contidos nas conversas são conservados pelo prazo configurado pela clínica e, na falta de configuração, por 12 meses após a última mensagem.

9.2. O serviço de atendimento não é o processo clínico do paciente. A clínica é responsável por transcrever para o seu processo clínico o que dele deva constar, e não deve usar o histórico das conversas como processo clínico.

9.3. No fim do contrato, aplicam-se os prazos de exportação e eliminação da secção 12: 30 dias para exportar e, depois disso, 60 dias para eliminar.

10.1. Contacto de proteção de dados. Disponibilizamos um contacto para as questões de proteção de dados, suporte@rummest.com, e designamos um encarregado de proteção de dados quando a lei o exija, comunicando à clínica a sua identidade e o seu contacto.

10.2. A Rummest reavalia periodicamente a necessidade de designação formal de Encarregado da Proteção de Dados (EPD/DPO) nos termos do artigo 37.º, n.º 1, alínea c) do RGPD, tendo em conta o volume de dados de saúde tratados e o número de titulares afetados, em conformidade com as orientações WP243 do EDPB. Enquanto o volume de tratamento não atingir escala que justifique a nomeação formal, a Rummest mantém um ponto de contacto para questões de proteção de dados no endereço indicado na secção 10.1.

11.1. Informação aos pacientes. O assistente identifica-se como sistema automático no início de cada conversa, nos termos do artigo 50.º do Regulamento (UE) 2024/1689, sem que a clínica possa remover essa identificação.

11.2. A clínica disponibiliza, no seu site ou por ligação no próprio chat, a sua política de privacidade, onde deve constar o uso do serviço.

Este contrato está disponível em português, inglês, espanhol e francês. A versão em português é a original; em caso de divergência de interpretação entre traduções, prevalece a versão portuguesa.