Âmbito de Aplicação

Esta política aplica-se ao tratamento de dados pessoais no contexto dos Serviços Appointmint e da navegação no website Appointmint.

Responsabilidades

• Cliente = Responsável pelo Tratamento: O Cliente é responsável pelos dados pessoais que introduz nos Serviços (dados dos seus pacientes/clientes finais).
• Appointmint = Subcontratante: Processa esses dados apenas segundo instruções do Cliente (ver Anexo A dos Termos de Serviço).
• Appointmint = Responsável: Para dados de conta, faturação, suporte e para dados recolhidos no website através do gestor de consentimento (Cookiebot) e Google Analytics 4 (apenas com consentimento).

1. Dados Tratados

1.1. Dados processados em nome do Cliente (Appointmint atua como Subcontratante):

• Identificação e contacto de pacientes/clientes finais: nome, email, telefone, morada, NIF;
• Histórico de marcações e serviços prestados;
• Dados de pagamento (processados via EasyPay - não armazenados pela Appointmint);
• Dados de saúde (categoria especial Art. 9º RGPD): informação clínica, notas de consulta, relatórios médicos, histórico de tratamentos, apenas se o Cliente optar por utilizar os campos personalizados para este fim. Neste caso, o Cliente deve garantir base legal adequada (consentimento explícito do titular ou exceção do Art. 9º(2)(h)).

1.2. Dados tratados pela Appointmint como Responsável:

• Dados de conta: nome, email e telefone do administrador do Cliente;
• Dados de faturação: NIPC e morada fiscal do Cliente;
• Données d’intégration Google, lorsqu’un professionnel choisit de connecter son compte : jetons d’accès/renouvellement, leur expiration technique et métadonnées de synchronisation strictement nécessaires pour créer, mettre à jour et supprimer des événements Google Calendar associés aux rendez-vous Appointmint, y compris l’identifiant de l’événement Google Calendar synchronisé. Appointmint ne collecte pas le contenu Gmail de l’utilisateur, ses Contacts Google, ses fichiers Google Drive, les paramètres Google Calendar ni la liste de ses calendriers via cette intégration ;
• Dados de navegação e consentimento no website: estado de consentimento por categoria e respetivo registo técnico (Cookiebot/Usercentrics);
• Métricas de utilização do website: páginas visitadas e eventos estatísticos agregados através do Google Analytics 4, apenas quando o utilizador consente cookies de estatística;
• Dados de suporte: tickets e emails trocados com [email protected];
• Cookies e tecnologias similares no website (ver Política de Cookies).

2. Finalidades e Fundamentos Legais

3. Direitos dos Titulares de Dados

Sob o RGPD, os titulares de dados têm direito a:

• Acesso: aceder aos dados pessoais tratados;
• Retificação: corrigir dados inexatos ou incompletos;
• Apagamento: solicitar eliminação quando aplicável;
• Limitação do tratamento: restringir o processamento em determinadas circunstâncias;
• Portabilidade: receber os seus dados num formato estruturado;
• Oposição: opor-se ao processamento para marketing ou interesses legítimos;
• Retirada de consentimento: retirar consentimentos previamente dados, sem afetar a licitude do tratamento anterior;
• Não ser sujeito a decisões totalmente automatizadas: contestar decisões tomadas unicamente por meios automatizados, quando aplicável.

Para exercer estes direitos, contacte: [email protected]

3.1. Google Calendar e dados obtidos através de APIs Google

• La connexion à Google Calendar est toujours optionnelle et initiée par le professionnel dans Appointmint.
• Appointmint utilise les données utilisateur Google exclusivement pour fournir et améliorer la fonctionnalité visible par l'utilisateur de synchronisation Google Calendar demandée par le professionnel.
• En pratique, l'accès accordé à Google Calendar est utilisé uniquement pour maintenir le calendrier principal du professionnel synchronisé avec les rendez-vous créés, modifiés ou annulés dans la plateforme.
• Lorsque la synchronisation est active, Appointmint peut créer, mettre à jour et supprimer des événements dans Google Calendar, y compris des données telles que le titre du rendez-vous, le nom du client, le type de service, l'heure de début/fin et les notes saisies par le Client.
• Appointmint n'utilise pas cet accès pour lire les listes de calendriers de l'utilisateur, accéder aux paramètres de Google Calendar, analyser le contenu d'autres calendriers ou utiliser les données Google à des fins non liées à la synchronisation des rendez-vous.
• Les données obtenues via les API Google ne sont pas vendues, ne sont pas utilisées pour de la publicité ciblée, personnalisée, de retargeting ou toute autre finalité publicitaire, ne sont pas transférées à des courtiers en données ou à des revendeurs d'information, ne sont pas utilisées pour évaluer la solvabilité ou à des fins de prêt, ne servent pas à constituer des bases de données de contacts, de profils ou de marketing et ne sont pas utilisées pour entraîner des modèles d'IA ou de machine learning généralistes.
• Appointmint ne partage les données Google qu'avec Google lui-même et avec les fournisseurs d'infrastructure strictement nécessaires au fonctionnement des Services, toujours soumis à des obligations contractuelles de confidentialité et de sécurité, ou lorsque la loi l'exige.
• L'accès humain aux données obtenues via les API Google n'est pas utilisé comme finalité commerciale indépendante. Un tel accès est limité à ce qui est autorisé par la Google API Services User Data Policy, y compris Limited Use, par exemple pour résoudre un problème d'assistance demandé par l'utilisateur ou traiter un incident de sécurité ou d'abus, et reste toujours soumis à des contrôles internes d'accès et de confidentialité.
• L'utilisateur peut révoquer l'accès à tout moment dans les paramètres d'Appointmint et/ou de son compte Google. Après révocation ou désactivation de l'intégration, aucune nouvelle synchronisation n'a lieu.
• Les jetons d'intégration Google et les métadonnées de synchronisation ne sont conservés que tant que l'intégration reste active et sont supprimés ou invalidés après la déconnexion, sauf lorsqu'une courte période de conservation est strictement nécessaire pour des journaux de sécurité, une enquête sur incident ou le respect d'obligations légales.
• L'utilisation et le transfert par Appointmint des informations reçues des API Google respectent la Google API Services User Data Policy, y compris les exigences de Limited Use.

4. Retenção de Dados

• Dados de conta e operacionais: mantidos durante a vigência do contrato + 30 dias (período de exportação);
• Dados de faturação: retidos por 10 anos (obrigação legal);
• Dados técnicos da integração Google (tokens e metadados de sincronização): mantidos enquanto a integração estiver ativa e, depois disso, apenas pelo período necessário para segurança, auditoria, resolução de incidentes ou cumprimento de obrigações legais;
• Dados de consentimento de cookies: conservados conforme prazos técnicos do Cookiebot e exigências de prova de consentimento;
• Dados de analytics (GA4): retenção configurada no Google Analytics, até ao limite disponibilizado pelo serviço para propriedades standard;
• Dados de suporte/tickets: retidos por 1 ano após resolução;
• Após o período de retenção, os dados são eliminados ou anonimizados.

5. Segurança

Implementamos medidas técnicas e organizativas adequadas para proteger os dados pessoais, incluindo:

• Encriptação em trânsito (HTTPS);
• Controlo de acesso baseado em funções;
• Registos de auditoria;
• Testes regulares de vulnerabilidades;
• Backups periódicos;
• Plano de resposta a incidentes.

6. Transferências Internacionais

Os dados são preferencialmente tratados no EEE. Quando existam transferências internacionais (por exemplo, através do Google Analytics 4 ou da integração com Google Calendar), aplicamos salvaguardas adequadas, incluindo decisões de adequação, Cláusulas Contratuais-Tipo e medidas suplementares técnicas/organizativas.

7. Contactos e Reclamações

Para questões sobre privacidade:

AMBITIOUS WORLD, Lda.
Email: [email protected]

Autoridade de controlo: Comissão Nacional de Proteção de Dados (CNPD)
www.cnpd.pt