Política de privacidade

Esta política explica como o Esteva Flow, disponível em estevaflow.com e app.estevaflow.com, trata dados pessoais, nos termos do Regulamento (UE) 2016/679 (RGPD) e da Lei n.º 58/2019, que o executa em Portugal.

O Esteva Flow é um software de gestão para clínicas de estética. Atuamos em dois papéis distintos:

• Responsável pelo tratamento dos dados da conta e da equipa de cada clínica, dos dados de faturação, dos dados de quem usa o Check-up da página inicial e dos dados técnicos necessários para o site e a aplicação funcionarem em segurança.
• Subcontratante dos dados dos clientes finais que cada clínica regista na aplicação (fichas clínicas, marcações, fotografias, consentimentos). Nestes casos o responsável pelo tratamento é a clínica, que decide para que e como os dados são usados. Nós tratamo-los apenas por sua conta e segundo as suas instruções, ao abrigo de um contrato de subcontratação nos termos do artigo 28.º do RGPD.

Identificação do responsável: Gabriel, NIF xxxxxxxx, com sede na Rua de Nova Santa Cruz, Braga. Contacto: suporte@estevaflow.com.

Se é cliente de uma clínica que usa o Esteva Flow e quer exercer direitos sobre os dados que ela guarda sobre si, dirija-se primeiro à clínica. Ajudamo-la a responder, e quem nos escrever diretamente será reencaminhado para a clínica certa.

Tratamos as seguintes categorias de dados, consoante a forma como se relaciona connosco:

• Visitantes do site: endereço IP e dados técnicos do pedido (browser, dispositivo, data e hora), necessários para servir as páginas e proteger o serviço contra abuso.
• Conta e equipa da clínica: nome, email, fotografia de perfil (se a conta a tiver), função na clínica (titular, profissional ou rececionista) e identificadores de sessão.
• Faturação da clínica: nome ou denominação, NIF, morada de faturação, email e estado da subscrição. Os dados do meio de pagamento são introduzidos na página de pagamento do Stripe e não passam pelos nossos servidores; nunca guardamos o número do cartão.
• Contactos de suporte: o conteúdo das mensagens que nos envia e os dados necessários para lhe responder.
• Check-up da página inicial: descritos na secção 10.
• Dados que as clínicas registam (somos subcontratante): dados de identificação e contacto dos clientes (nome, telefone, email, data de nascimento), marcações e pedidos de marcação online (nome, telefone, email opcional, tratamento e horário pedidos), registos financeiros, tarefas de acompanhamento e a ficha dos funcionários que o titular da clínica decidir registar.
• Dados de saúde, que as clínicas registam (somos subcontratante): anamnese (alergias, contraindicações, histórico clínico), notas de tratamento, fotografias antes e depois, consentimentos informados e respetivas assinaturas e autorizações de uso de imagem.

Os dados de saúde e as fotografias são categorias especiais de dados (artigo 9.º do RGPD) e têm proteção reforçada, descrita na secção 11. A anamnese nunca é mostrada ao papel de rececionista e o seu conteúdo nunca é registado em logs.

Cada tratamento tem uma finalidade e um fundamento de licitude (artigo 6.º do RGPD):

• Prestar o serviço (criar e gerir a conta, autenticar, organizar a agenda, enviar os lembretes de marcação por email, dar suporte): execução do contrato com a clínica, alínea b).
• Cobrar a subscrição e cumprir obrigações fiscais e contabilísticas: execução do contrato, alínea b), e cumprimento de obrigação legal, alínea c).
• Segurança, prevenção de abuso e fraude, limitação de pedidos, monitorização de erros e cópias de segurança: interesse legítimo em manter o serviço seguro e disponível, alínea f). Aplicamos o mínimo de dados e removemos dados pessoais dos relatórios de erros antes de os enviar.
• Comunicações de serviço (avisos de conta, de subscrição ou de alterações importantes): execução do contrato e interesse legítimo. Não são marketing.
• Diagnóstico do Check-up e comunicações de marketing por email: consentimento, alínea a), dado separadamente para cada um, como descrito na secção 10.

Dados dos clientes das clínicas. Tratamo-los só para prestar o serviço à clínica. Não os usamos para marketing, publicidade, criação de perfis nem treino de modelos, e não os vendemos nem partilhamos para finalidades próprias. Os fundamentos de licitude da clínica perante os seus clientes são da sua responsabilidade; em regra assentam na execução do contrato de prestação de serviços, na prestação de cuidados (artigo 9.º, n.º 2, alínea h), por profissional sujeito a dever de sigilo) e, para usar fotografias fora da ficha clínica, no consentimento explícito do cliente (artigo 9.º, n.º 2, alínea a), que a aplicação regista separadamente do consentimento de tratamento.

Decisões automatizadas. Não tomamos decisões baseadas exclusivamente em tratamento automatizado que produzam efeitos jurídicos ou afetem significativamente alguém. A pontuação do Check-up é calculada automaticamente apenas para elaborar o diagnóstico que a própria pessoa pediu.

Recorremos aos prestadores abaixo para operar o serviço. Todos tratam dados por nossa conta (ou por conta das clínicas, através de nós), vinculados por contrato que cumpre o artigo 28.º do RGPD:

• Supabase: base de dados e armazenamento privado de ficheiros (fotografias, assinaturas). Servidores na União Europeia (Frankfurt, Alemanha).
• Clerk: autenticação, sessões e gestão das organizações (clínicas) e dos seus membros.
• Vercel: alojamento e execução da aplicação e do site, incluindo logs técnicos de acesso.
• Stripe (Stripe Payments Europe, Limited, Irlanda): cobrança das subscrições. Recebe apenas dados de faturação da clínica; nunca recebe dados dos clientes finais nem dados de saúde. Para fins de prevenção de fraude e obrigações regulatórias de pagamentos, o Stripe pode atuar também como responsável pelo tratamento autónomo, nos termos da sua própria política.
• Resend: envio de emails, como os lembretes de marcação aos clientes das clínicas e o diagnóstico do Check-up. Um lembrete contém o nome da clínica, a data, a hora e o tratamento marcado.
• Sentry: deteção e diagnóstico de erros e de desempenho. Os relatórios são limpos de dados pessoais e de conteúdo clínico antes do envio.
• Upstash: limitação do número de pedidos (proteção contra abuso), com dados temporários como o endereço IP.
• Cloudflare: gestão do DNS do domínio e armazenamento das cópias de segurança diárias da base de dados.
• GitHub: execução da tarefa automática que faz a cópia de segurança diária.
• Google (Google Ireland Limited): análise de audiência da página inicial e do Check-up com o Google Analytics, só depois de aceitar os cookies de análise (ver a secção 7).

Transferências internacionais. A base de dados está na UE, mas alguns destes prestadores pertencem a grupos sediados fora do Espaço Económico Europeu, em especial nos Estados Unidos, ou podem tratar dados fora dele (por exemplo, em suporte técnico). Quando isso acontece, a transferência assenta numa decisão de adequação da Comissão Europeia, como o Quadro de Privacidade de Dados UE-EUA para prestadores nele certificados, ou em cláusulas contratuais-tipo aprovadas pela Comissão (artigos 45.º e 46.º do RGPD), com as medidas complementares que se justifiquem. Pode pedir-nos informação sobre as garantias aplicadas.

Esta lista é atualizada quando mudarmos ou acrescentarmos prestadores que tratem dados pessoais.

Conservamos os dados apenas pelo tempo necessário para a finalidade que os justificou:

• Check-up: 12 meses depois do pedido (secção 10).
• Conta e dados da clínica: enquanto a conta existir. Se a subscrição ou a avaliação gratuita terminar, a conta fica em modo só de leitura e os dados não são apagados automaticamente, para que a clínica os possa consultar e recuperar.
• Fim do contrato: a clínica pode pedir-nos a devolução e a eliminação dos dados que registou. Eliminamo-los no prazo de 1 ano após o termo, salvo obrigação legal de os conservar. Os prazos de conservação das fichas clínicas e das fotografias perante os clientes são definidos pela clínica, em função da legislação aplicável à sua atividade.
• Faturação: 10 anos, nos termos da legislação comercial e fiscal.
• Cópias de segurança: diárias, mantidas durante 30 dias e depois apagadas. Dados eliminados da aplicação podem por isso permanecer nas cópias até 30 dias, sem serem usados para outra finalidade.
• Dados de limitação de pedidos: apenas durante a janela de tempo da limitação, em regra minutos.
• Relatórios de erros: pelo período de retenção configurado no serviço de monitorização, sem conteúdo clínico.
• Pedidos de suporte: enquanto forem necessários para os tratar e para demonstrar o que foi pedido e respondido.

Findos os prazos, os dados são apagados ou anonimizados de forma irreversível.

Tem direito, nos termos dos artigos 15.º a 22.º do RGPD, a:

• aceder aos seus dados e obter uma cópia;
• pedir a retificação de dados inexatos ou incompletos;
• pedir o apagamento dos dados, quando não houver razão legal para os conservar;
• pedir a limitação do tratamento;
• receber os dados que nos forneceu num formato estruturado e de uso corrente (portabilidade);
• opor-se ao tratamento baseado em interesse legítimo e, a qualquer momento, ao marketing direto;
• não ficar sujeito a decisões exclusivamente automatizadas com efeitos significativos.

Retirar o consentimento. Quando o tratamento assenta em consentimento, pode retirá-lo a qualquer momento, sem custos e com a mesma facilidade com que o deu. A retirada não afeta a licitude do tratamento feito antes. No Check-up, basta pedir-nos por email (secção 10). Quanto à autorização de uso de imagem dada a uma clínica, a revogação é registada pela clínica e não apaga publicações já feitas, que a clínica tem de retirar.

Como exercer. Escreva para suporte@estevaflow.com. Podemos pedir-lhe informação para confirmar a sua identidade. Respondemos no prazo de um mês, prorrogável por mais dois meses em pedidos complexos ou numerosos, caso em que a informamos. O exercício é gratuito, salvo pedidos manifestamente infundados ou excessivos. Para dados de que a clínica é responsável, reencaminhamos o pedido e apoiamos a resposta dela.

Reclamações. Pode apresentar reclamação à Comissão Nacional de Proteção de Dados (CNPD), em www.cnpd.pt, sem prejuízo de qualquer outro meio administrativo ou judicial.

Usamos cookies e armazenamento local necessários para o serviço funcionar ou para guardar uma preferência sua. Na página inicial e no Check-up usamos ainda, só se o aceitar, cookies de análise de audiência. Não usamos cookies de publicidade nem de seguimento entre sites.

• Estritamente necessários. Cookies de sessão e segurança do Clerk (por exemplo, __session e __client_uat), que o mantêm autenticado e protegem o início de sessão. Duram o tempo da sessão ou o definido pelo Clerk.
• Preferência de interface. O cookie sidebar_state guarda, durante 7 dias, se a barra lateral está aberta ou fechada. Não contém dados pessoais.
• Armazenamento local do browser. A aplicação pode guardar no seu dispositivo um rascunho do formulário de cliente que esteja a preencher, apagado quando o guarda, e a escolha de ocultar um aviso de funcionalidade. Não saem do seu browser. Evite preencher fichas de clientes em dispositivos partilhados.
• Análise de audiência (só com o seu consentimento). Cookies do Google Analytics 4 (_ga e _ga_ seguido do identificador da propriedade), na página inicial e no Check-up, que duram até 2 anos. Medem páginas vistas, cliques nas chamadas para ação, profundidade de leitura e origem da visita (por exemplo, a campanha indicada no endereço). Não recebem o seu nome, email, as respostas do Check-up nem qualquer dado de clientes ou de saúde, e a publicidade personalizada do Google está desligada. A Google Ireland Limited pode transferir dados para os Estados Unidos, ao abrigo do Quadro de Privacidade de Dados UE-EUA ou de cláusulas contratuais-tipo. A escolha fica guardada no seu browser durante 12 meses; pode mudá-la a qualquer momento em «Preferências de cookies», no fim da página inicial, ou apagar os cookies no browser.
• Página de pagamento do Stripe. A subscrição é paga numa página alojada pelo Stripe, que pode definir os seus próprios cookies, regidos pela política do Stripe.

Os cookies estritamente necessários não precisam de consentimento; os de análise só são ativados depois de os aceitar (artigo 5.º da Lei n.º 41/2004). Se um dia passarmos a usar cookies de marketing, pedimos o seu consentimento antes de os ativar e atualizamos esta secção. Pode bloquear ou apagar cookies nas definições do browser, mas a aplicação deixa de funcionar sem os de sessão.

Podemos atualizar esta política para refletir mudanças no serviço, nos prestadores ou na lei. A data da última atualização está no topo da página.

Em alterações materiais que afetem os dados de uma clínica, avisamos o titular da conta com antecedência razoável, por email ou na aplicação, antes de produzirem efeitos.

Para qualquer questão sobre proteção de dados, incluindo o exercício de direitos e a retirada de consentimento, escreva para suporte@estevaflow.com. Se for caso disso, indique a clínica a que se refere o pedido.

Morada: Rua de Nova Santa Cruz 340, Braga

Dados: quem preenche o Check-up em /check-up e pede o diagnóstico por email dá-nos o nome, o email, o nome da clínica (opcional), o telemóvel (só se pedir que lhe liguemos) e as respostas ao questionário. As respostas ficam guardadas como opções escolhidas, sem texto livre além do que a pessoa escrever.

Finalidade e fundamento legal: enviar o diagnóstico e o plano de ação pedidos, com base no consentimento da pessoa. Um segundo consentimento, separado e opcional, permite enviar comunicações do Esteva Flow por email; receber o diagnóstico nunca depende dele. O telemóvel só serve para a chamada pedida.

Prazo de conservação: 12 meses depois do pedido, findos os quais os dados são apagados.

Retirar o consentimento: a qualquer momento, por pedido por email ao contacto indicado na secção 9; deixamos de usar o email para comunicações de marketing. Estes dados não pertencem a nenhuma clínica cliente e não são partilhados com ela. Quem avança para a avaliação gratuita de 15 dias cria uma conta à parte.

Aplicamos medidas técnicas e organizativas adequadas ao risco, em particular por tratarmos dados de saúde (artigo 32.º do RGPD):

• ligações cifradas (HTTPS/TLS) e cifragem dos dados em repouso, geridas pelos nossos prestadores;
• isolamento entre clínicas: cada clínica só acede aos seus dados, garantido na aplicação e na própria base de dados (segurança ao nível da linha, sempre ativa);
• controlo de acessos por função, com verificação no servidor antes de qualquer leitura ou escrita; o papel de rececionista não acede à anamnese;
• fotografias em armazenamento privado, nunca por endereço público: só são vistas através de ligações temporárias de curta duração;
• validação de todos os dados recebidos e limitação de pedidos contra abuso;
• os conteúdos de fichas clínicas nunca são registados em logs, e os relatórios de erros são limpos de dados pessoais antes do envio;
• cópias de segurança diárias da base de dados, com restauro testado.

Nenhum sistema é totalmente invulnerável. Em caso de violação de dados pessoais, notificamos a CNPD no prazo de 72 horas quando exigido, avisamos sem demora injustificada as clínicas afetadas e, quando houver risco elevado para as pessoas, ajudamos a clínica a comunicá-lo aos titulares.

O Esteva Flow é um serviço para clínicas e não se dirige a menores. Quando uma clínica trata dados de menores, cabe-lhe obter a autorização dos titulares das responsabilidades parentais.