Dados clínicos cifrados, em servidores na União Europeia
Uma clínica que trata dados de saúde não pode aceitar promessas vagas. Isto é o que fazemos, dito de forma verificável — e a autoridade de controlo à qual responde em Portugal é a CNPD.
Seis compromissos, sem letra pequena
Os dados ficam na União Europeia
A infraestrutura está alojada na UE. Nenhum dado clínico é transferido para fora do Espaço Económico Europeu no funcionamento normal do produto, por isso não há transferência internacional a legitimar nem cláusulas-tipo a assinar.
Cifrados em repouso e em trânsito
AES-256 em repouso e TLS em trânsito. As gravações de sessão e a telemetria do visor viajam cifradas desde o equipamento, e a fila offline do casco guarda as métricas cifradas até haver ligação.
Isolamento por clínica ao nível da linha
Cada clínica vê apenas os seus dados, garantido por políticas na própria base de dados — não por um filtro na interface. O papel com que a aplicação se liga não pode contornar essas políticas, o que significa que um erro no código continua sem conseguir cruzar a fronteira entre clínicas.
O paciente é anónimo por desenho
A VRET nunca recebe a identidade real de um paciente. O pseudónimo é gerido por si na sua clínica, e é esse pseudónimo que aparece em sessões, marcadores e relatórios. A associação entre pseudónimo e pessoa nunca sai do seu consultório.
Contrato de subcontratação assinado no arranque
Assinamos consigo um contrato de subcontratação conforme o artigo 28.º do RGPD antes de qualquer tratamento. Descreve as finalidades, as categorias de dados, os prazos de conservação e os subcontratantes ulteriores, e a autoridade de controlo competente em Portugal é a CNPD.
Os dados são seus e saem quando quiser
Exporte sessões, marcadores e métricas para CSV, JSON ou por API a qualquer momento, sem pedir autorização e sem custo. No plano Enterprise há um compromisso contratual de 60 dias e um servidor para levar tudo se alguma vez encerrarmos.
O que pode exigir, e quando
- Acesso, retificação e apagamento
- A partir do painel, sem passar pelo apoio.
- Portabilidade
- Exportação em CSV, JSON ou por API, em formato legível por máquina.
- Registo de atividade
- Cada alteração fica registada com quem a fez e quando.
- Conservação
- Definida no contrato por plano, mais o período de conservação legal quando a regulamentação o exija.
O responsável pelo tratamento dos dados clínicos é a sua clínica; a VRET atua como subcontratante. Se quiser apresentar uma reclamação sobre o tratamento dos seus dados pessoais, a autoridade competente em Portugal é a Comissão Nacional de Proteção de Dados (CNPD).