Âmbito de Aplicação

Esta política aplica-se ao tratamento de dados pessoais no contexto dos Serviços Appointmint e da navegação no website Appointmint.

Responsabilidades

• Cliente = Responsável pelo Tratamento: O Cliente é responsável pelos dados pessoais que introduz nos Serviços (dados dos seus pacientes/clientes finais).
• Appointmint = Subcontratante: Processa esses dados apenas segundo instruções do Cliente (ver Anexo A dos Termos de Serviço).
• Appointmint = Responsável: Para dados de conta, faturação, suporte e para dados recolhidos no website através do gestor de consentimento (Cookiebot) e Google Analytics 4 (apenas com consentimento).

1. Dados Tratados

1.1. Dados processados em nome do Cliente (Appointmint atua como Subcontratante):

• Identificação e contacto de pacientes/clientes finais: nome, email, telefone, morada, NIF;
• Histórico de marcações e serviços prestados;
• Dados de pagamento (processados via EasyPay - não armazenados pela Appointmint);
• Dados de saúde (categoria especial Art. 9º RGPD): informação clínica, notas de consulta, relatórios médicos, histórico de tratamentos, apenas se o Cliente optar por utilizar os campos personalizados para este fim. Neste caso, o Cliente deve garantir base legal adequada (consentimento explícito do titular ou exceção do Art. 9º(2)(h)).

1.2. Dados tratados pela Appointmint como Responsável:

• Dados de conta: nome, email e telefone do administrador do Cliente;
• Dados de faturação: NIPC e morada fiscal do Cliente;
• Dados de integração com Google, quando um profissional opta por ligar a sua conta: tokens de acesso/renovação, respetiva expiração técnica e metadados de sincronização estritamente necessários para criar, atualizar e eliminar eventos do Google Calendar associados às marcações Appointmint, incluindo o identificador do evento sincronizado no Google Calendar. A Appointmint não recolhe, através desta integração, conteúdos do Gmail do utilizador, Contactos Google, ficheiros do Google Drive, definições do Google Calendar nem a lista de calendários do utilizador;
• Dados de navegação e consentimento no website: estado de consentimento por categoria e respetivo registo técnico (Cookiebot/Usercentrics);
• Métricas de utilização do website: páginas visitadas e eventos estatísticos agregados através do Google Analytics 4, apenas quando o utilizador consente cookies de estatística;
• Dados de suporte: tickets e emails trocados com [email protected];
• Cookies e tecnologias similares no website (ver Política de Cookies).

2. Finalidades e Fundamentos Legais

3. Direitos dos Titulares de Dados

Sob o RGPD, os titulares de dados têm direito a:

• Acesso: aceder aos dados pessoais tratados;
• Retificação: corrigir dados inexatos ou incompletos;
• Apagamento: solicitar eliminação quando aplicável;
• Limitação do tratamento: restringir o processamento em determinadas circunstâncias;
• Portabilidade: receber os seus dados num formato estruturado;
• Oposição: opor-se ao processamento para marketing ou interesses legítimos;
• Retirada de consentimento: retirar consentimentos previamente dados, sem afetar a licitude do tratamento anterior;
• Não ser sujeito a decisões totalmente automatizadas: contestar decisões tomadas unicamente por meios automatizados, quando aplicável.

Para exercer estes direitos, contacte: [email protected]

3.1. Google Calendar e dados obtidos através de APIs Google

• A ligação ao Google Calendar é sempre opcional e iniciada pelo próprio profissional dentro da Appointmint.
• A Appointmint utiliza dados do utilizador Google exclusivamente para fornecer e melhorar a funcionalidade visível para o utilizador de sincronização com Google Calendar solicitada pelo profissional.
• Na prática, o acesso concedido ao Google Calendar é usado apenas para manter o calendário principal do profissional sincronizado com as marcações criadas, alteradas ou canceladas na plataforma.
• Quando a sincronização está ativa, a Appointmint pode criar, atualizar e eliminar eventos no Google Calendar, incluindo dados como título da marcação, nome do cliente, tipo de serviço, hora de início/fim e notas que o Cliente decida inserir.
• A Appointmint não utiliza este acesso para ler listas de calendários do utilizador, aceder às definições do Google Calendar, analisar conteúdos de outros calendários ou utilizar dados Google para finalidades não relacionadas com a sincronização de marcações.
• Os dados obtidos a partir de APIs Google não são vendidos, não são usados para publicidade direcionada, publicidade personalizada, retargeting ou qualquer outra finalidade publicitária, não são transferidos para corretores de dados ou revendedores de informação, não são usados para determinar solvabilidade ou para fins de crédito, não são usados para criar bases de dados de contactos, perfis ou marketing e não são usados para treinar modelos generalistas de IA ou machine learning.
• A Appointmint apenas partilha dados Google com a própria Google e com fornecedores de infraestrutura estritamente necessários para operar os Serviços, sempre sujeitos a obrigações contratuais de confidencialidade e segurança, ou quando tal seja exigido por lei.
• O acesso humano a dados obtidos através de APIs Google não é usado como uma finalidade comercial autónoma. Esse acesso é limitado ao que é permitido pela Google API Services User Data Policy, incluindo Limited Use, por exemplo para resolver um pedido de suporte do utilizador ou tratar um incidente de segurança ou abuso, e está sempre sujeito a controlos internos de acesso e confidencialidade.
• O utilizador pode revogar o acesso a qualquer momento nas definições da Appointmint e/ou da sua conta Google. Após revogação ou desligar a integração, deixam de ocorrer novas sincronizações.
• Os tokens de integração Google e os metadados de sincronização são mantidos apenas enquanto a integração estiver ativa e são eliminados ou invalidados após a desconexão, salvo quando um curto período adicional seja estritamente necessário para registos de segurança, investigação de incidentes ou cumprimento de obrigações legais.
• A utilização e transferência de informação recebida das APIs Google pela Appointmint cumpre a Google API Services User Data Policy, incluindo os requisitos de Limited Use.

4. Retenção de Dados

• Dados de conta e operacionais: mantidos durante a vigência do contrato + 30 dias (período de exportação);
• Dados de faturação: retidos por 10 anos (obrigação legal);
• Dados técnicos da integração Google (tokens e metadados de sincronização): mantidos enquanto a integração estiver ativa e, depois disso, apenas pelo período necessário para segurança, auditoria, resolução de incidentes ou cumprimento de obrigações legais;
• Dados de consentimento de cookies: conservados conforme prazos técnicos do Cookiebot e exigências de prova de consentimento;
• Dados de analytics (GA4): retenção configurada no Google Analytics, até ao limite disponibilizado pelo serviço para propriedades standard;
• Dados de suporte/tickets: retidos por 1 ano após resolução;
• Após o período de retenção, os dados são eliminados ou anonimizados.

5. Segurança

Implementamos medidas técnicas e organizativas adequadas para proteger os dados pessoais, incluindo:

• Encriptação em trânsito (HTTPS);
• Controlo de acesso baseado em funções;
• Registos de auditoria;
• Testes regulares de vulnerabilidades;
• Backups periódicos;
• Plano de resposta a incidentes.

6. Transferências Internacionais

Os dados são preferencialmente tratados no EEE. Quando existam transferências internacionais (por exemplo, através do Google Analytics 4 ou da integração com Google Calendar), aplicamos salvaguardas adequadas, incluindo decisões de adequação, Cláusulas Contratuais-Tipo e medidas suplementares técnicas/organizativas.

7. Contactos e Reclamações

Para questões sobre privacidade:

AMBITIOUS WORLD, Lda.
Email: [email protected]

Autoridade de controlo: Comissão Nacional de Proteção de Dados (CNPD)
www.cnpd.pt