Política de privacidade

Quem somos

A Doctigo é operada pela Doctigo Sàrl, estabelecida em 147, Rue de l'Alzette, L-4011 Esch-sur-Alzette, Luxemburgo. Número no Registo de Comércio e das Sociedades do Luxemburgo (RCS): B312395. A Doctigo opera o sítio web e a plataforma de marcações doctigo. Para qualquer questão sobre os seus dados, contacte-nos através de support@doctigo.lu.

Quando marca uma consulta, o profissional de saúde que escolher recebe os detalhes da marcação e passa a ser autonomamente responsável pelos registos médicos que mantém sobre si, ao abrigo das suas próprias obrigações profissionais e legais, incluindo o sigilo médico.

A responsabilidade pelos seus dados é partilhada e a parte que importa depende do que pretende saber. O seu profissional de saúde é responsável pela consulta em si, pelo motivo da visita e pelos registos médicos daí resultantes. A Doctigo trata essa informação segundo as instruções dele.

A Doctigo é responsável pelo que gere por sua própria conta: o diretório de profissionais, a sua conta de paciente, a lista de espera, os lembretes que lhe enviamos e as avaliações que publica.

Por isso, fale com o seu profissional de saúde sobre a consulta ou os registos médicos, e connosco sobre a sua conta, os nossos e-mails ou a forma como aparece no sítio. Em caso de dúvida, escreva-nos e indicamos-lhe o interlocutor certo.

A quem se aplica esta política

Aplica-se aos pacientes e visitantes que navegam no sítio, marcam consultas como convidados ou criam uma conta de paciente, e aos profissionais de saúde e ao respetivo pessoal de receção que utilizam a Doctigo para gerir a agenda e as marcações.

Os dados que recolhemos

Recolhemos apenas o que o serviço necessita para funcionar:

• Dados de conta: o seu nome, endereço de email, número de telefone opcional e uma palavra-passe que nunca armazenamos de forma legível (apenas um hash criptográfico). Registamos também o momento em que confirmou o seu endereço de email, a língua que escolheu para o sítio e o momento em que deu o seu consentimento, juntamente com a versão do texto que aceitou.
• Dados de marcação: o profissional de saúde, a data e a hora e os seus dados de contacto. O motivo da consulta não é escrito por si: escolhe-o na lista que o consultório definiu, e é obrigatório sempre que o consultório tenha definido algum motivo. Um consultório pode também tornar obrigatório o seu número de telefone.
• O seu número de segurança social, apenas quando o consultório o pedir: alguns consultórios precisam da matrícula CNS de 13 dígitos, que é um número de identificação nacional. Está desativado por predefinição, e o formulário de marcação só mostra o campo se esse consultório o tiver ativado. Se estiver desativado, um número que nos seja enviado à mesma é descartado em vez de armazenado. Quando o indica, com o seu consentimento explícito no âmbito da marcação, fica visível apenas na agenda desse consultório: nunca num email de confirmação, nunca no ecrã da sala de espera, nunca em qualquer parte do sítio público.
• A sua morada, nas mesmas condições: rua, código postal e localidade, pedidos em conjunto ou não pedidos de todo, e apenas quando o consultório o tiver ativado. O código postal não está deliberadamente limitado ao formato luxemburguês, porque muitos pacientes vivem do outro lado da fronteira. Tal como acima, o que não é pedido não é armazenado, e uma morada que nos chegue à mesma é descartada. Fica na agenda desse consultório.
• A sua data de nascimento, o seu género, ou uma nota para o profissional de saúde, cada uma apenas quando o consultório a tiver ativado individualmente. Aplica-se a mesma regra: o que não é pedido não é armazenado, e o que fornecer fica na agenda desse consultório.
• No consultório, no próprio dia: se a receção o registar à chegada e o marcar como chamado, guardamos esses dois momentos, para que o ecrã da sala de espera esteja correto. Guardamos também se uma consulta foi realizada ou falhada, e qual a conta de pessoal que introduziu uma marcação feita pelo consultório em seu nome.
• Lista de espera: se entrar numa fila à espera de um horário mais cedo, guardamos a hora que aguarda, os seus dados de contacto, o mesmo motivo da consulta, a sua língua, a sua posição na fila e as propostas que lhe enviamos, incluindo quando cada uma expira e a resposta que deu. O consultório pode também manter uma breve nota interna sobre a sua inscrição, para a sua própria gestão da lista; nunca lhe é mostrada nem publicada.
• Avaliações: o que escrever e se pediu para aparecer de forma anónima. O que acontece a uma avaliação depois de a publicar está descrito em “Quem pode ver os seus dados”.
• Dados de saúde: o motivo da consulta, qualquer nota que acrescente para o profissional de saúde, o que escrever numa avaliação e o facto de ter uma marcação com um determinado profissional de saúde podem revelar informações sobre a sua saúde. Recolhemo-los exclusivamente com o seu consentimento explícito, que dá no momento em que age: ao efetuar uma marcação, ao criar a sua conta, ao entrar numa lista de espera ou ao publicar uma avaliação. Registamos o momento em que o deu e a versão do texto que aceitou.
• Dados de profissionais de saúde: o perfil profissional que os profissionais de saúde publicam (nome, fotografia, descrição, especialidade, morada do consultório, línguas), a lista de motivos de consulta que oferecem, a sua disponibilidade, ausências e encerramentos, e o seu nível de subscrição. Quando um consultório guarda a sua morada, pedimos a um serviço de mapas que a posicione corretamente no mapa de pesquisa; nenhum dado de pacientes está envolvido nesse pedido.
• Dados técnicos e de segurança: informações de ligação, como o seu endereço IP, conservadas brevemente na nossa base de dados para contabilizar os pedidos face a um limite e travar abusos automatizados. São conservadas durante a duração desse limite, no máximo uma hora, e nunca servem para construir um perfil sobre si. Nas contas de profissional de saúde e de receção que ativam o início de sessão em dois passos, guardamos a configuração do segundo fator, códigos de recuperação de utilização única e, se nos pedir para memorizar um navegador durante 15 dias, um token desse navegador e uma breve descrição do mesmo. Os registos da nossa própria aplicação são deliberadamente escritos sem nomes, endereços de email ou qualquer informação de saúde.
• Quando nos escreve: o formulário de contacto guarda o assunto que escolheu, o seu nome, o seu endereço de email e a sua mensagem.

Porque os tratamos e com que fundamento jurídico

Cada utilização dos seus dados corresponde a uma finalidade e a um fundamento jurídico ao abrigo do RGPD:

• Prestação do serviço de marcações: criar a sua consulta, enviá-la ao seu profissional de saúde e permitir-lhe consultá-la e cancelá-la (artigo 6.º, n.º 1, alínea b), execução de um contrato).
• Tratamento do motivo da consulta e de outros dados reveladores da sua saúde: apenas com o seu consentimento explícito (artigo 9.º, n.º 2, alínea a), em conjugação com o artigo 6.º, n.º 1, alínea a)). Pode retirá-lo, e a secção “Os seus direitos”, mais abaixo, explica o que a retirada significa na prática.
• Manutenção da segurança da plataforma: limitação da frequência de pedidos, prevenção de abusos e proteção de contas (artigo 6.º, n.º 1, alínea f), o nosso interesse legítimo num serviço seguro).
• Cumprimento das obrigações legais que nos são aplicáveis no Luxemburgo (artigo 6.º, n.º 1, alínea c)).

Nunca vendemos os seus dados, não apresentamos publicidade e não utilizamos os seus dados para treinar modelos de inteligência artificial.

Quem pode ver os seus dados

O acesso está limitado ao que cada parte estritamente necessita:

• O profissional de saúde com quem marca, e o pessoal de receção que ele tenha autorizado, veem os detalhes da sua marcação, incluindo os seus dados de contacto e o motivo da consulta: é ele que o trata, e essa é a finalidade do serviço. O ecrã da sala de espera na receção deixa deliberadamente de fora o seu número de segurança social.
• Os outros pacientes e os outros profissionais de saúde não veem nada sobre si, com uma exceção que depende de si. Uma avaliação que publique aparece no perfil público desse profissional de saúde, onde qualquer pessoa a pode ler, com o que escreveu e o seu primeiro nome. Se publicar de forma anónima, o seu nome não é mostrado a ninguém, nem aos outros pacientes nem ao próprio profissional de saúde. Um consultório pode optar por publicar uma avaliação sem o comentário escrito, ou por a ocultar inteiramente do público.
• Os nossos fornecedores tratam dados por nossa conta: a empresa que gere a nossa base de dados e o armazenamento de ficheiros, a empresa que gere os nossos servidores aplicacionais e o fornecedor que entrega os nossos emails. Gerem infraestrutura para nós e não têm qualquer finalidade própria para o que por ela passa. Cada um deles está vinculado a isso por um acordo escrito de tratamento de dados. Os nossos emails são deliberadamente parcos: o fornecedor de entrega vê o seu nome, o seu endereço de email, a data e a hora da consulta, o nome do profissional de saúde e a morada do consultório, e nunca o motivo da consulta nem a especialidade, porque nomear a especialidade diria por si só algo sobre a sua saúde. Se o seu consultório enviar lembretes de consulta por SMS, esse mesmo fornecedor entrega-os também, pelo que recebe o seu número de telemóvel. A mensagem indica apenas que tem uma consulta e quando: nunca o nome do profissional, nunca a especialidade e nunca o motivo da consulta.
• A nossa própria equipa acede a dados pessoais apenas quando é necessário para operar o serviço ou para responder a um pedido seu. O acesso administrativo exige um segundo fator de início de sessão, assim que este esteja configurado na conta.
• O mapa na página de resultados de pesquisa carrega os mosaicos de fundo diretamente de um serviço de mapas de terceiros. Esse serviço vê o seu endereço IP e a zona do mapa que está a ver, e nada mais: não sabe quem é, nem que profissional de saúde abre.
• A morada do consultório no perfil de um profissional de saúde é uma ligação para o Google Maps. O mapa não está incorporado: nada chega ao Google enquanto lê a página, a ligação só produz efeito se optar por clicar nela, e está configurada para não indicar ao Google a página de onde vem. Uma vez no Google Maps, aplicam-se os termos e a política de privacidade do Google.

Onde ficam os seus dados

Os seus dados de conta, de marcação, de lista de espera e de avaliações são armazenados em infraestrutura localizada na União Europeia, em Frankfurt, na Alemanha. Os nossos servidores aplicacionais, e a camada que leva os seus pedidos até eles, estão também configurados para funcionar aí.

Algumas das empresas que gerem esta infraestrutura por nossa conta têm sede fora da UE. Quando isso se aplica, a transferência está coberta pelas garantias exigidas pelo RGPD, como as Cláusulas Contratuais-Tipo da Comissão Europeia, em vigor com cada fornecedor a par dos acordos de tratamento de dados acima descritos.

O nosso sítio web público é distribuído através de uma rede global de distribuição de conteúdos, para que as páginas carreguem rapidamente onde quer que esteja, e tudo o que submete viaja através de ligações encriptadas.

Durante quanto tempo os conservamos

A sua conta existe até que nos peça para a eliminar. Os registos de consultas são conservados enquanto permanecerem necessários para a sua relação com o seu profissional de saúde e para os deveres legais de conservação aplicáveis aos registos relacionados com cuidados de saúde.

Nada é eliminado automaticamente. Não existe qualquer processo que apague discretamente registos antigos, e os registos relacionados com a saúde nunca são apagados silenciosamente: a eliminação é uma ação que uma pessoa executa, a pedido. Quando apagamos, verificamos depois que os registos desapareceram mesmo, e guardamos um registo do que foi removido, do que foi conservado e porquê.

Dois limites honestos a isto. Podem permanecer cópias durante algum tempo nas cópias de segurança encriptadas do nosso fornecedor de alojamento, e o fornecedor que entregou os seus emails conserva os seus próprios registos de entrega. Para pedir a eliminação da sua conta e dos seus dados, escreva para support@doctigo.lu.

Como os protegemos

A segurança é o primeiro requisito de tudo o que construímos:

• Todas as ligações são encriptadas em trânsito, e o nosso fornecedor de alojamento encripta os dados em repouso na infraestrutura que gere para nós.
• As palavras-passe e as sessões de início de sessão são armazenadas apenas como hashes criptográficos; mesmo uma cópia da nossa base de dados não revelaria uma palavra-passe ou uma sessão utilizável.
• O acesso aos dados de consultas é verificado no servidor em cada pedido, sem exceção: só pode ler as suas próprias marcações, e uma conta de consultório apenas as agendas pelas quais é responsável.
• A base de dados está fechada de modo que só a nossa própria aplicação a pode ler. Todas as tabelas recusam a interface de dados do fornecedor de alojamento, pelo que uma chave dessa interface que fosse divulgada não devolveria nada.
• Os pontos de acesso de início de sessão, registo e marcação, e os nossos restantes pontos de acesso sensíveis, têm limitação da frequência de pedidos para resistir a ataques automatizados.
• Os registos da nossa própria aplicação são escritos sem nomes, endereços de email ou informações de saúde.

As ligações que lhe enviamos por email

Alguns dos nossos emails contêm uma ligação que atua sobre uma consulta sem palavra-passe, porque nem sempre existe uma conta por trás de uma marcação. O email de confirmação de uma marcação feita como convidado inclui uma ligação que cancela a consulta, e mantém-se válida bastante depois da data da consulta. Um email da lista de espera inclui uma ligação que aceita o horário proposto, e essa funciona apenas uma vez.

Qualquer pessoa que consiga ler a caixa de correio pode utilizar essas ligações, por isso não reencaminhe estes emails. Uma ligação mostra-lhe sempre o que está prestes a fazer e aguarda a sua confirmação antes de o fazer.

Cookies

Utilizamos três cookies, e nenhum deles o rastreia: um mantém a sua sessão iniciada na sua conta, outro memoriza a sua língua e um terceiro, apenas nas contas de profissional de saúde e de receção e apenas se nos pedir para memorizar um navegador, permite que esse navegador salte o segundo passo de início de sessão durante 15 dias. O pessoal com sessão iniciada tem ainda os cookies de sessão e de proteção contra a falsificação de pedidos de que a nossa interface de administração necessita. Não instalamos cookies de análise, de publicidade ou de rastreamento, razão pela qual não vê nenhum aviso de cookies.

Os seus direitos

Ao abrigo do RGPD pode, a qualquer momento e gratuitamente:

• aceder aos dados que detemos sobre si e receber uma cópia (artigo 15.º);
• retificar dados inexatos (artigo 16.º);
• obter o apagamento dos seus dados (artigo 17.º);
• limitar certos tratamentos ou opor-se aos mesmos (artigos 18.º e 21.º);
• receber os seus dados num formato portável (artigo 20.º);
• retirar o seu consentimento para o tratamento de dados de saúde, sem que isso afete a licitude do tratamento efetuado antes da retirada.

Escreva para support@doctigo.lu e responderemos no prazo de um mês. Não existe um botão para nada disto: são pedidos tratados por uma pessoa. Retirar o seu consentimento para os dados relacionados com a saúde significa que esses dados são apagados, exceto quando o seu profissional de saúde tem de conservar um registo dos cuidados que lhe prestou.

Para tudo o que diga respeito à sua consulta ou ao seu registo médico, é o seu profissional de saúde que decide e nós agimos segundo as instruções dele, por isso escreva-lhe ou peça-nos para lhe transmitirmos o pedido. Tem também o direito de apresentar uma reclamação junto da autoridade de controlo luxemburguesa, a Commission nationale pour la protection des données (CNPD), em cnpd.lu.

Menores

As contas de paciente destinam-se a pessoas com 16 anos ou mais. Não pedimos a data de nascimento, pelo que esta é uma regra que lhe pedimos que respeite e não uma verificação que fazemos. Os pais e os representantes legais podem marcar consultas em nome dos seus filhos; a marcação fica associada à conta do representante, e as informações da criança beneficiam das mesmas proteções de dados de saúde descritas acima.

Alterações a esta política

Quando alterarmos esta política de forma relevante, atualizaremos a data no topo e, no caso de alterações significativas, informá-lo-emos na aplicação ou por email.

Contacto

Doctigo, operada pela Doctigo Sàrl, 147, Rue de l'Alzette, L-4011 Esch-sur-Alzette, Luxemburgo. RCS Luxemburgo: B312395. E-mail: support@doctigo.lu.

A Doctigo é uma plataforma de marcações, não um serviço de emergência. Em caso de emergência médica, ligue para o 112.