Política de Privacidade

1. Quem somos (Responsável pelo Tratamento)

Esta Política aplica-se ao tratamento de dados pessoais efetuado no âmbito da plataforma Curas, acessível em curas.app ("Curas", "Plataforma", "nós"). A Plataforma é operada pela Dalbott Lda.

Identificação do Responsável pelo Tratamento (Art. 4.º, n.º 7 e Art. 13.º, n.º 1, alínea a), RGPD):

Encarregado de Proteção de Dados (DPO): designado nos termos do Art. 37.º, n.º 1, alínea c), RGPD, em articulação com o Art. 12.º, n.º 1, alínea b), da Lei 58/2019, por tratar dados de saúde em larga escala quando os titulares revelem informação clínica através da Plataforma. O DPO da Dalbott Lda. é Raquel Rodrigues. Todas as comunicações relativas à proteção de dados devem ser dirigidas a dpo@curas.app.

Natureza da Plataforma: a Curas opera como marketplace de intermediação entre terapeutas e clientes finais. A Curas NÃO é prestadora de cuidados de saúde. Os atos terapêuticos são praticados exclusivamente pelos terapeutas, fora da Plataforma, sob responsabilidade exclusiva destes.

2. Princípio geral

Esta Política existe para cumprir o dever de transparência imposto pelos artigos 12.º, 13.º e 14.º do RGPD. Comprometemo-nos a:

• Tratar apenas os dados estritamente necessários a cada finalidade (minimização, Art. 5.º/1/c).
• Tratar os dados de forma lícita, leal e transparente (Art. 5.º/1/a).
• Conservar os dados apenas durante o tempo necessário (limitação da conservação, Art. 5.º/1/e).
• Proteger os dados com medidas técnicas e organizativas adequadas (integridade e confidencialidade, Art. 5.º/1/f).
• Poder demonstrar o cumprimento (responsabilidade, Art. 5.º/2).

Se algum ponto te suscitar dúvidas, contacta-nos em privacy@curas.app.

3. Que dados recolhemos

3.1. Terapeutas (utilizadores profissionais subscritores)

3.2. Clientes (utilizadores finais)

3.3. Visitantes (não registados)

4. Para que fins e com que bases legais

A Curas só trata dados pessoais quando existe uma base legal válida nos termos do Art. 6.º RGPD (e, para dados de saúde, do Art. 9.º/2).

Nota sobre interesse legítimo: sempre que invocamos o Art. 6.º/1/f, efetuamos e documentamos um teste de ponderação (LIA — Legitimate Interests Assessment) conforme orientação do EDPB. Tens o direito de te opor a este tratamento nos termos do Art. 21.º RGPD — ver §11.

5. Dados de saúde (Art. 9.º RGPD)

Dados de saúde são categoria especial (Art. 9.º/1 RGPD) com proteção reforçada (Art. 4.º/15 + Considerando 35).

5.1. Contextos em que a Curas pode tratar dados de saúde

A Curas não recolhe ativamente dados de saúde. No entanto, estes podem surgir:

• Mensagens entre Cliente e Terapeuta (sintomas, condições, motivos de procura);
• Reviews públicos (referência à condição que levou à consulta);
• Campo "motivo da consulta" na marcação;
• Conteúdo de ofertas promocionais (Premium) com referência a patologias.

5.2. Base legal: consentimento explícito (Art. 9.º/2/a)

A Curas fundamenta o tratamento de dados de saúde revelados na Plataforma no consentimento explícito do titular (Art. 9.º/2/a RGPD).

Não invocamos o Art. 9.º/2/h (prestação de cuidados de saúde) porque a Curas não é prestadora de cuidados — opera como intermediário. A alínea h) exige que o responsável seja profissional de saúde ou entidade sujeita a segredo profissional, o que não é o caso.

5.3. Papel do Terapeuta

O Terapeuta é responsável pelo tratamento autónomo dos dados clínicos recolhidos e processados fora da Plataforma (notas clínicas, historial, plano de tratamento). A Curas não acede nem trata esses dados.

5.4. Medidas reforçadas

• Cifragem em repouso (AES-256) e em trânsito (TLS 1.3) para mensagens;
• Controlo de acesso baseado em função (RBAC): apenas os intervenientes e um número mínimo de agentes autorizados em casos estritamente necessários;
• Logs de acesso a mensagens com auditoria permanente;
• Avisos contextuais recomendando não partilhar dados clínicos sensíveis pela Plataforma;
• Procedimento expedito de apagamento a pedido do titular (Art. 17.º);
• Avaliação de Impacto sobre a Proteção de Dados (DPIA — Art. 35.º/3/b) obrigatória antes de launch.

7. Com quem partilhamos (subcontratantes)

Todos os subcontratantes (processors, Art. 4.º/8 RGPD) estão vinculados por Contrato de Subcontratação (DPA) nos termos do Art. 28.º/3 RGPD.

Outros subcontratantes ocasionais:

• Fornecedor de Livro de Reclamações Eletrónico (Art. 3.º DL 74/2017) — a designar;
• Fornecedor de entidade RAL (Lei 144/2015) — CNIACC ou CASA por defeito;
• Software certificado de faturação (Decreto-Lei 28/2019) — a designar antes da cobrança de pagamentos reais;
• Escritórios de advogados e contabilistas, sujeitos a segredo profissional.

Atualizações: esta lista é mantida atualizada. Alterações de subcontratantes serão refletidas aqui com comunicação prévia aos titulares conforme §14.

8. Transferências internacionais

Sempre que os dados são transferidos para fora do EEE, a Curas garante que uma das condições do Capítulo V do RGPD está preenchida. Instrumentos utilizados:

• Cláusulas Contratuais-Tipo (SCC) — Decisão de Execução (UE) 2021/914, Art. 46.º/2/c RGPD. Assinadas com cada subcontratante em país terceiro.
• Data Privacy Framework UE-EUA (DPF) — Decisão de Adequação de 10.07.2023, quando o subcontratante esteja certificado. Alerta: sob escrutínio judicial, pode ser invalidada (Schrems I C-362/14, Schrems II C-311/18).
• Transfer Impact Assessment (TIA) — avaliação caso a caso dos riscos à luz das Recomendações EDPB 01/2020, tendo em conta FISA 702, EO 12333, CLOUD Act e medidas suplementares.
• Medidas suplementares técnicas — cifragem em trânsito (TLS 1.3), em repouso (AES-256), pseudonimização quando possível.

Pode ser disponibilizada cópia das SCC e TIA mediante pedido fundamentado a privacy@curas.app.

9. Quanto tempo guardamos (retenção)

Aplicamos o princípio da limitação da conservação (Art. 5.º/1/e RGPD). Os dados são conservados apenas durante o tempo estritamente necessário ou pelo prazo imposto por lei.

Após cada prazo, os dados são eliminados ou anonimizados de forma irreversível, consoante a finalidade (Art. 32.º).

10. Cookies e tecnologias semelhantes

A Curas utiliza cookies nos termos do Art. 5.º/3 da Diretiva 2002/58/CE (ePrivacy) e do Art. 5.º da Lei 41/2004.

Banner de consentimento: apresentamos banner à primeira visita com opções Aceitar tudo / Rejeitar tudo / Personalizar em pé de igualdade visual, sem dark patterns proibidos (Guidelines EDPB 03/2022 + Art. 25.º/3/b DSA). Para detalhes completos, consulta a Política de Cookies dedicada.

11. Os teus direitos

Enquanto titular dos dados, tens os seguintes direitos (artigos 15.º a 22.º RGPD):

Como exercer os teus direitos

• Email: privacy@curas.app ou dpo@curas.app;
• Prazo de resposta: até 30 dias (prorrogáveis por 60d em casos complexos, Art. 12.º/3);
• Gratuidade: o exercício é gratuito, salvo pedidos manifestamente infundados ou excessivos (Art. 12.º/5);
• Verificação de identidade: podemos pedir elementos para confirmar identidade (Art. 12.º/6).

Reclamação à autoridade de controlo

12. Segurança

A Curas implementa medidas técnicas e organizativas adequadas para garantir um nível de segurança adequado ao risco, nos termos do Art. 32.º RGPD.

12.1. Medidas técnicas

• Cifragem em trânsito: TLS 1.3;
• Cifragem em repouso: AES-256 para BDs e backups;
• Autenticação multifator (MFA) obrigatória para contas administrativas;
• Segregação de ambientes (dev, staging, produção);
• Princípio do menor privilégio e RBAC;
• Logging e monitorização contínua (SIEM);
• Backups encriptados, geograficamente distribuídos, testados periodicamente;
• Pseudonimização de identificadores em analytics;
• Varrimentos de vulnerabilidades (SAST/DAST) periódicos.

12.2. Medidas organizativas

• Formação obrigatória em proteção de dados para colaboradores;
• Acordos de Confidencialidade (NDAs);
• DPIA para tratamentos de elevado risco (Art. 35.º);
• DPAs (Art. 28.º) com todos os subcontratantes;
• Verificação prévia e revisão anual de subcontratantes;
• Procedimento documentado de resposta a incidentes.

12.3. Resposta a violações (Art. 33.º e 34.º)

• Notificação à CNPD: em 72 horas após conhecimento, salvo se for improvável risco para direitos e liberdades (Art. 33.º/1);
• Comunicação aos titulares: quando a violação implique elevado risco, sem demora injustificada, em linguagem clara (Art. 34.º);
• Registo interno: todas as violações são registadas para accountability (Art. 33.º/5);
• Protocolo documentado com fases (0-4h, 4-24h, 24-48h, 48-72h, pós-incidente) e playbooks por cenário.

13. Menores

A Curas destina-se exclusivamente a utilizadores com idade igual ou superior a 18 anos. Esta decisão é mais restritiva que o limiar de 13 anos da Lei 58/2019 (Art. 16.º/1), fundamentada em razões sanitárias:

• As terapias podem envolver decisões sobre a própria saúde que exigem capacidade plena;
• A Curas não implementa mecanismos de consentimento parental (Art. 8.º RGPD) — o requisito de maioridade evita esta complexidade;
• O tratamento de dados clínicos de menores exige garantias adicionais (Considerando 38).

Procedimento em caso de deteção de menor: suspensão imediata da conta e eliminação dos dados em 30 dias, salvo obrigação legal de conservação em contrário. O tutor legal pode contactar privacy@curas.app para eliminação imediata nos termos do Art. 17.º.

14. Alterações à Política

• Notificação: alterações substanciais são notificadas por email com 30 dias de antecedência;
• Versão anterior: mantemos publicamente disponíveis as versões anteriores;
• Direito de recusa: podes cancelar a conta antes da entrada em vigor, sem penalização (Art. 7.º/3 + Art. 10.º DL 24/2014);
• Versão em vigor: a publicada em curas.app/privacy, com data e versão no topo.

15. Contactos

Para todas as questões sobre proteção de dados e privacidade: