Política de Privacidade

1. Responsável pelo tratamento

O papel da Wavaily depende do tipo de dados. A Wavaily (doravante, a “Plataforma”), acessível a partir de www.wavaily.com, é o responsável pelo tratamento dos dados das clínicas e profissionais registados e dos visitantes deste sítio web:

• Identidade: Wavaily (doravante, o “Responsável”)
• Correio eletrónico de contacto: privacidad@wavaily.com
• Sítio web: www.wavaily.com

Relativamente aos dados dos pacientes que efetuam marcações através do portal de uma clínica, o responsável pelo tratamento é a clínica correspondente, e a Wavaily atua como subcontratante por conta dessa clínica (art. 28 RGPD). Cada paciente pode consultar o aviso de privacidade da sua clínica no próprio portal de marcações.

2. Dados pessoais que recolhemos

Em função da relação que mantenha com a Plataforma, poderemos tratar as seguintes categorias de dados pessoais:

2.1 Clínicas e profissionais (utilizadores registados)

• Dados identificativos: nome, apelidos, endereço de correio eletrónico, número de telefone.
• Dados profissionais: nome da clínica, morada, número de inscrição na ordem profissional (se facultado), especialidades.
• Dados de acesso: endereço de correio eletrónico e palavra-passe cifrada.

2.2 Pacientes (utilizadores das clínicas)

• Dados identificativos: nome, apelidos, endereço de correio eletrónico, número de telefone.
• Dados de saúde: unicamente os estritamente necessários para a gestão de marcações (serviço solicitado, motivo da consulta caso a clínica o ative). A Wavaily não acede nem armazena históricos clínicos completos.
• Dados de navegação: endereço IP, tipo de navegador, cookies.

3. Finalidades do tratamento

Tratamos os dados pessoais para as seguintes finalidades:

• Prestação do serviço: gestão de contas de utilizador, gestão de marcações e reservas, envio de confirmações e lembretes.
• Comunicações transacionais: envio de mensagens de correio eletrónico de confirmação de marcação, cancelamento, reagendamento e lembretes por correio eletrónico, SMS ou WhatsApp.
• Melhoria da Plataforma: análise estatística agregada e anonimizada da utilização da Plataforma.
• Cumprimento legal: resposta a reclamações e exercício de direitos, cumprimento de obrigações fiscais e comerciais.

4. Fundamento jurídico do tratamento

• Execução de um contrato (artículo 6.1.b del RGPD): o tratamento é necessário para a prestação do serviço contratado pelas clínicas e a gestão de marcações dos pacientes.
• Consentimento (artículo 6.1.a del RGPD): para o envio de comunicações comerciais, se aplicável.
• Interesse legítimo (artículo 6.1.f del RGPD): para a melhoria da Plataforma e a prevenção da fraude.
• Obrigação legal (artículo 6.1.c del RGPD): para o cumprimento das obrigações fiscais e comerciais aplicáveis.

5. Destinatários dos dados

Os dados pessoais poderão ser comunicados aos seguintes destinatários, exclusivamente para as finalidades indicadas:

• Supabase, Inc. (Estados Unidos): alojamento de base de dados e autenticação. Dispõe de cláusulas contratuais-tipo aprovadas pela Comissão Europeia para transferências internacionais.
• Vercel, Inc. (Estados Unidos): alojamento da Plataforma. Dispõe de cláusulas contratuais-tipo.
• Resend, Inc. (Estados Unidos): envio de mensagens de correio eletrónico transacionais. Dispõe de cláusulas contratuais-tipo.
• Stripe, Inc. (Estados Unidos): processamento de pagamentos, caso a clínica ative a cobrança online. Dispõe de cláusulas contratuais-tipo.
• Twilio, Inc. (Estados Unidos): envio de SMS e mensagens de WhatsApp, caso a clínica ative os lembretes. Dispõe de cláusulas contratuais-tipo.

Não serão cedidos dados a terceiros distintos dos indicados, salvo obrigação legal.

6. Transferências internacionais

Os fornecedores indicados no ponto anterior encontram-se localizados nos Estados Unidos. Em todos os casos, foram subscritas as Cláusulas Contratuais-Tipo aprovadas pela Comissão Europeia (Decisión de Ejecución 2021/914) como garantia adequada para a transferência internacional de dados, em conformidade com o artículo 46.2.c del RGPD.

7. Prazo de conservação

• Dados de utilizadores registados (clínicas): enquanto se mantiver a relação contratual e, após o seu termo, durante os prazos legalmente exigidos (mínimo de 5 anos em conformidade com o Código de Comercio).
• Dados de pacientes: a Wavaily trata-os unicamente por conta da clínica, que é a responsável pelo tratamento, e conserva-os enquanto o contrato com ela estiver em vigor. No termo, são devolvidos ou suprimidos conforme o que a clínica decidir (art. 28.3.g RGPD). É a clínica que determina os prazos de conservação exigidos pela normativa sanitária: no mínimo 5 anos desde a alta de cada processo assistencial (Lei espanhola 41/2002 art. 17) e 15 anos na Catalunha (Lei 21/2000 art. 12).
• Dados de navegação: máximo de 13 meses a partir da sua recolha.

8. Direitos do titular dos dados

Em conformidade com o RGPD e a Ley Orgánica 3/2018, de 5 de diciembre, de Protección de Datos Personales y garantía de los derechos digitales (LOPD-GDD), o titular dos dados tem direito a:

• Acesso: saber quais os seus dados pessoais que estão a ser tratados.
• Retificação: solicitar a correção de dados inexatos ou incompletos.
• Apagamento: solicitar a eliminação dos seus dados quando já não sejam necessários para a finalidade para a qual foram recolhidos.
• Oposição: opor-se ao tratamento dos seus dados em determinadas circunstâncias.
• Limitação do tratamento: solicitar que se limite o tratamento dos seus dados.
• Portabilidade: receber os dados facultados num formato estruturado, de uso corrente e de leitura automática.

Para exercer estes direitos, o titular dos dados pode dirigir-se a privacidad@wavaily.com, indicando a sua identidade e o direito que pretende exercer. A solicitação será respondida no prazo máximo de um mês.

Do mesmo modo, o titular dos dados tem direito a apresentar uma reclamação junto da Agencia Española de Protección de Datos (www.aepd.es) caso considere que os seus direitos não foram devidamente atendidos.

9. Medidas de segurança

A Wavaily aplica as medidas técnicas e organizativas apropriadas para garantir um nível de segurança adequado ao risco, incluindo:

• Cifragem de palavras-passe e dados sensíveis em trânsito (TLS) e em repouso.
• Políticas de segurança ao nível da linha (Row Level Security) na base de dados, garantindo que cada clínica apenas acede aos seus próprios dados.
• Cabeçalhos de segurança HTTP (HSTS, CSP, X-Frame-Options).
• Autenticação segura mediante tokens JWT com expiração controlada.

10. Cookies

A Plataforma utiliza cookies estritamente necessárias para o funcionamento do serviço (autenticação de sessão). Não são utilizadas cookies com fins publicitários ou de rastreio de terceiros.

Para mais informações sobre as cookies utilizadas, pode consultar as definições do seu navegador.

11. Relação entre a Wavaily e as clínicas

Para efeitos do RGPD, a Wavaily atua como subcontratante relativamente aos dados de pacientes que as clínicas gerem através da Plataforma. Cada clínica é responsável pelo tratamento dos dados dos seus pacientes e deve dispor do seu próprio fundamento jurídico para o referido tratamento (consentimento do paciente, execução de contrato de prestação de serviços de saúde, etc.).

As condições desta relação de subcontratação do tratamento são reguladas no contrato de prestação de serviços subscrito entre a Wavaily e cada clínica.

12. Alterações

A Wavaily reserva-se o direito de alterar a presente Política de Privacidade para a adaptar a novidades legislativas ou jurisprudenciais. Em caso de alterações substanciais, os utilizadores registados serão notificados por correio eletrónico com uma antecedência mínima de 15 dias.