Política de Privacidade

1. Compromisso e Enquadramento Geral

A AIM LIFE, Lda. (doravante AIM Cancer Center), enquanto entidade responsável pelo tratamento de dados pessoais no contexto da sua atividade clínica e empresarial, compromete-se a assegurar, com rigor, eficácia e segurança, a proteção de todos os dados pessoais que recolhe e trata diariamente. Esta Política de Privacidade descreve de forma clara como tratamos os seus dados pessoais e como pode exercer os seus direitos enquanto titular desses dados. A AIM Cancer Center desenvolve todas as suas atividades em conformidade com o Regulamento Geral de Proteção de Dados (RGPD), com a Lei n.º 58/2019 de 8 de agosto (lei nacional de execução do RGPD) e demais legislação setorial aplicável, designadamente no setor da saúde.

A segurança e privacidade dos dados pessoais são primordiais para a AIM Cancer Center. Implementamos medidas técnicas e organizativas adequadas para proteger os dados contra perda, uso indevido ou acesso não autorizado, e revemos periodicamente estas medidas para assegurar a conformidade contínua com as boas práticas e exigências legais. A AIM Cancer Center reserva-se o direito de atualizar ou modificar a presente Política de Privacidade; quaisquer alterações substanciais serão comunicadas nos meios apropriados. Recomenda-se a consulta regular desta Política para se manter informado(a) sobre a forma como protegemos a sua privacidade.

A AIM Cancer Center, para além de prestar cuidados oncológicos virtuais, desenvolve também programas de saúde corporativa (AIM Corporate Health), cursos de formação em diversas áreas da saúde e participa em projetos de investigação científica.

2. Dados Pessoais e Titulares de Dados Pessoais

O que são dados pessoais?

Dados pessoais são qualquer informação, de qualquer natureza e independentemente do formato, relativa a uma pessoa singular identificada ou identificável. É considerada identificável qualquer pessoa que possa ser identificada direta ou indiretamente, designadamente por referência a um identificador (por exemplo, um nome, número de identificação, dados de localização, identificadores por via eletrónica, ou a um ou mais elementos específicos da sua identidade física, fisiológica, genética, mental, económica, cultural ou social).

Quem são os titulares de dados pessoais que tratamos?

No âmbito da atividade da AIM Cancer Center, são tratados dados pessoais de um leque diversificado de titulares, incluindo pessoas singulares e coletivas (estas últimas, na medida em que contenham dados de representantes ou colaboradores). Sem prejuízo de outras pessoas que possam ser visadas, os principais titulares de dados pessoais abrangidos (não exaustivamente) são:

Utentes/Clientes (pacientes dos serviços clínicos) e os seus colaboradores ou representantes (quando o cliente é uma pessoa coletiva);
Colaboradores de parceiros ou prestadores de serviços da AIM Cancer Center;
Trabalhadores, candidatos a emprego ou estagiários da AIM Cancer Center;
Participantes em eventos organizados ou promovidos pela AIM Cancer Center;
Visitantes das instalações da AIM Cancer Center (incluindo visitantes ocasionais, conferencistas, fornecedores, etc.);
Incluem-se ainda: participantes em programas de saúde corporativa e iniciativas de bem-estar empresarial; formandos ou inscritos em cursos de formação promovidos pela AIM; participantes em projetos de investigação científica conduzidos ou coorganizados pela AIM.

3. Que Dados Pessoais Recolhemos e Como

A AIM Cancer Center recolhe apenas dados pessoais adequados, pertinentes e limitados ao estritamente necessário face às finalidades específicas do tratamento (de acordo com o princípio da minimização dos dados do RGPD). A recolha pode ocorrer por diversos meios e momentos, nomeadamente:

por via oral (p.ex. em atendimento telefónico ou por videochamada),
por escrito (através de formulários, fichas de inscrição, contratos ou outros documentos físicos), ou

por via digital (através do website institucional e outras plataformas online da AIM Cancer Center).

A recolha por via presencial nas nossas instalações ocorre apenas em casos excecionais, dado que a AIM Cancer Center presta maioritariamente serviços à distância.

Regra geral, recolhemos diretamente os seus dados, embora em algumas situações possamos obter dados por intermédio de terceiros devidamente autorizados ou no contexto de parcerias (p.ex. recebimento de resultados de análises de laboratórios externos, referências profissionais de candidatos, etc.).

Categorias de dados pessoais tratados:

Conforme a finalidade em causa, poderemos proceder à recolha e tratamento das seguintes categorias de dados pessoais:

Dados de identificação – como o nome completo, estado civil, naturalidade, data de nascimento, número de documento de identificação (Cartão de Cidadão ou equivalente) e número de utente do SNS, quando aplicável;
Dados de contacto – como morada, endereço de correio eletrónico (email), número de telefone/telemóvel;
Dados académicos e profissionais – como habilitações literárias, histórico curricular, situação profissional atual ou posição/função desempenhada (apenas para funcionários, colaboradores de entidades parceiras ou candidatos a vagas de emprego/estágio);
Dados financeiros e de faturação – como Número de Identificação Fiscal (NIF), IBAN, dados de seguros de saúde ou subsistemas de saúde (se aplicável ao pagamento de cuidados), informações de faturação e transações;
Dados de utilização de sistemas e localização eletrónica – como endereços de IP, dados de logs de acesso a sistemas informáticos ou à rede Wi-Fi da AIM Cancer Center (quando fornecida), registos de utilização de dispositivos ou aplicações disponibilizadas pela AIM Cancer Center, etc.;
Imagens e som – nomeadamente, gravações de imagem (e som, se aplicável) obtidas em contexto de formação, eventos ou videoconferências promovidas pela AIM Cancer Center (com aviso prévio) e imagens captadas pelos sistemas de videovigilância (CCTV) instalados nas nossas instalações, conforme descrito adiante na Secção 10 desta Política;
Dados de saúde (dados pessoais sensíveis) – informações relativas ao seu estado de saúde físico ou mental, histórico clínico, resultados de exames, diagnósticos, tratamentos e demais dados incluídos no seu processo clínico de utente, bem como outros dados pertencentes a categorias especiais nos termos do RGPD (como dados genéticos ou biométricos para identificação, se e quando aplicável). Estes dados, pela sua natureza altamente sensível, são objeto de tratamento exclusivamente no contexto da prestação de cuidados de saúde ou gestão do processo clínico, com salvaguardas especiais de confidencialidade e segurança (conforme detalhado mais adiante nesta Política). Note-se que a AIM Cancer Center não procede, em regra, à recolha de categorias especiais de dados alheias ao contexto clínico (como convicções religiosas, filosóficas ou políticas, dados sobre vida sexual, origem étnica ou filiação sindical), exceto se tal for estritamente necessário e no contexto de prestação de cuidados de saúde e sempre ao abrigo das exceções legais apropriadas.

Todas as informações recolhidas no âmbito da utilização do website (incluindo, por exemplo, dados submetidos através de formulários de contacto ou pré-marcação de consultas) serão usadas exclusivamente para os fins comunicados no momento da recolha (p.ex., responder ao seu contacto, processar a sua inscrição ou marcar a consulta solicitada) e para melhorar a experiência de navegação do utilizador no website. Para informações sobre a utilização de cookies ou tecnologias similares no nosso website e aplicação, consulte a nossa Política de Cookies disponível online.

4. Fundamentos de Licitude do Tratamento

Por que motivo (e com que base legal) tratamos os seus dados pessoais?

Todos os tratamentos de dados pessoais realizados pela AIM Cancer Center têm um fundamento de licitude válido, nos termos do Artigo 6.º do RGPD (ou do Artigo 9.º, no caso de categorias especiais de dados, como explicado abaixo). Em concreto, dependendo da finalidade específica, o tratamento basear-se-á numa das seguintes condições de licitude:

Consentimento do titular dos dados: quando nos tenha sido dado consentimento livre, explícito, informado e específico para tratar os seus dados para determinada finalidade. Por exemplo, solicitaremos o seu consentimento prévio para utilizar o seu endereço de email para o envio de newsletters informativas, ou para tratar dados pessoais em atividades de marketing ou divulgação de eventos não diretamente relacionados com os serviços contratados. Poderá retirar, a qualquer momento, o consentimento dado, conforme explicado adiante nos seus direitos.
Execução de contrato ou diligências pré-contratuais: quando o tratamento dos dados seja necessário para a celebração, execução e gestão de um contrato no qual o titular é parte, ou para diligências a pedido deste antes da celebração de um contrato. Por exemplo, utilizaremos os dados pessoais necessários para elaborar e executar contratos de prestação de cuidados de saúde (ou outros serviços) com os nossos utentes e clientes, para efetivar contratos de trabalho com os nossos colaboradores, ou contratos de prestação de serviços com fornecedores e parceiros. Inclui-se aqui o tratamento indispensável de dados no âmbito pré-contratual (p.ex. processamento de candidaturas de emprego/estágio, orçamentação de serviços de saúde antes da contratação).
Cumprimento de obrigações legais: quando o tratamento for necessário para cumprir obrigações jurídicas a que a AIM Cancer Center esteja sujeita. Nestas situações, os seus dados serão tratados na medida do necessário para cumprimento de leis e regulamentos aplicáveis, nacionais ou da União Europeia. Por exemplo, podemos ter de comunicar dados pessoais a entidades públicas de saúde ou autoridades reguladoras (como a Administração Central do Sistema de Saúde – ACSS, a Entidade Reguladora da Saúde – ERS, ou Direção-Geral da Saúde – DGS), à autoridade tributária e fiscal, à segurança social, a tribunais ou autoridades policiais, nos casos legalmente previstos. Igualmente, no contexto laboral, tratamos dados para cumprir obrigações decorrentes do Código do Trabalho e legislação fiscal e de segurança social (p.ex. comunicações obrigatórias à Segurança Social, Fundo de Compensação do Trabalho, Autoridade para as Condições do Trabalho, entre outros).
Interesse legítimo do responsável ou de terceiros: quando o tratamento se mostre necessário para efeito de interesses legítimos prosseguidos pela AIM Cancer Center ou por terceiros, desde que não prevaleçam os direitos, liberdades e garantias do titular dos dados. Esta base pode ser aplicada, por exemplo, para garantir a segurança física de instalações, bens e pessoas (videovigilância e controlo de acessos, por interesse legítimo em proteger todos os envolvidos), para prevenir fraude e salvaguardar os sistemas informáticos (interesse em proteger a nossa atividade de acessos indevidos ou ataques cibernéticos), ou ainda para necessidades de exercício ou defesa de direitos em processos judiciais (interesse legítimo em nos defendermos ou acionar direitos em litígios) quando não estejamos obrigados por lei a manter esses dados. Em qualquer caso em que recorramos ao interesse legítimo, realizaremos uma avaliação prévia para confirmar que o nosso interesse não colide de forma excessiva com os direitos dos titulares.
Tratamento de categorias especiais de dados (dados sensíveis): no que respeita a dados de saúde ou outros dados sensíveis que porventura tratemos, importa referir que o fundamento de licitude não será, em regra, o consentimento do titular, mas sim as exceções legais previstas no Artigo 9.º(2) do RGPD. Especificamente, a AIM Cancer Center trata dados de saúde dos utentes por ser necessário para fins de medicina preventiva, diagnóstico, prestação de cuidados ou tratamentos de saúde ou gestão dos sistemas de saúde, ao abrigo do Artigo 9.º, n.º2, alínea h) do RGPD, e em cumprimento da legislação nacional aplicável que impõe o dever de sigilo profissional aos profissionais de saúde. Assim, os dados de saúde são tratados exclusivamente por ou sob a direção de profissionais sujeitos a dever de confidencialidade (médicos, enfermeiros, técnicos de diagnóstico, etc.), não sendo requerido consentimento expresso do titular para estes tratamentos no contexto da prestação de cuidados de saúde, dado que se fundamentam em disposição legal especial e obrigação profissional. Esta clarificação alinha-se com o RGPD e a Lei 58/2019 (Art. 29.º) e visa garantir que o titular compreende que, por razões legais e de qualidade dos cuidados, não pode recusar o tratamento dos seus dados clínicos essenciais ao cuidado invocando falta de consentimento, salvo nas situações estritamente aplicáveis (por exemplo, tratamentos fora do âmbito clínico, como certos projetos de investigação ou ações de marketing, os quais só ocorrerão mediante consentimento, se forem tratar dados de saúde).

5. Finalidades do Tratamento de Dados Pessoais

Os dados pessoais recolhidos pela AIM Cancer Center destinam-se a finalidades específicas, explícitas e legítimas, comunicadas no momento da recolha ou nesta Política. Não trataremos os seus dados de modo incompatível com essas finalidades. Apresentamos de seguida as principais finalidades do tratamento de dados pela AIM Cancer Center, indicando em cada caso a respetiva base legal de licitude:

Prestação de cuidados de saúde e gestão clínica: inclui a marcação de consultas, realização de exames, diagnóstico, terapêutica e acompanhamento clínico no contexto da relação com o utente. Base legal: execução do contrato de prestação de serviços de saúde com o titular (necessidade para fornecer o serviço solicitado) e cumprimento de obrigações legais na área da saúde; no caso de dados de saúde envolvidos, aplica-se ainda a exceção legal do Art. 9.º(2)(h) do RGPD, conforme descrito acima, não sendo requerido consentimento.
Elaboração, negociação e execução de contratos comerciais ou de trabalho: gestão de contratos com clientes, prestadores de serviços, fornecedores, colaboradores e outras partes, incluindo processamento de pagamentos, faturação, gestão de recursos humanos, etc. Base legal: necessidade para execução de contrato ou diligências pré-contratuais (Art. 6.º(1)(b) RGPD) e, quando aplicável, cumprimento de obrigações legais (por exemplo, obrigações laborais e fiscais).
Organização e gestão de eventos e ações formativas: inscrição e participação de interessados em eventos, formações, workshops ou iniciativas promovidas pela AIM Cancer Center, incluindo gestão de presenças, emissão de certificados e uso de imagem quando autorizado. Base legal: dependendo do caso, consentimento do titular (p.ex. para uso de imagens ou envio de convites) ou execução de contrato (se o evento fizer parte de um serviço solicitado).
Gestão e execução de programas de saúde corporativa (no âmbito da AIM Corporate Health): incluindo comunicação com participantes e empresas contratantes.
Realização e acompanhamento de projetos de investigação científica: incluindo recolha e análise de dados para fins de estudo, sempre com base em consentimento informado e/ou outras bases legais aplicáveis.
Divulgação de newsletters e comunicações de marketing: envio de newsletters informativas, comunicações sobre serviços, campanhas ou eventos da AIM Cancer Center que possam ser do interesse do titular. Base legal: consentimento explícito do titular dos dados para essa finalidade (Art. 6.º(1)(a) RGPD), obtido, por exemplo, aquando da subscrição voluntária da newsletter. O titular pode retirar o consentimento a qualquer momento, caso em que deixará de receber estas comunicações.
Segurança física de pessoas e instalações: monitorização e controle de acesso às instalações da AIM Cancer Center, videovigilância CCTV nas áreas sinalizadas, registo de entradas e saídas, e implementação de medidas de segurança destinadas a proteger colaboradores e outros visitantes, bem como os bens e infraestruturas. Base legal: interesse legítimo do responsável no que concerne à prevenção de incidentes, proteção de pessoas e bens e dissuasão de práticas ilícitas (Art. 6.º(1)(f) RGPD); cumprimento de obrigações legais em matéria de segurança privada (quando aplicável, p.ex. Lei 34/2013) e, se for o caso, proteção de interesses vitais (Art. 6.º(1)(d), em emergências). (Veja a Secção 10 abaixo para detalhes específicos sobre videovigilância).
Gestão de sistemas informáticos e segurança da informação: manutenção e monitorização dos nossos sistemas de tecnologia de informação, incluindo gestão de contas de utilizador, backups, prevenção de fraude, intrusão ou ataques informáticos, e garantia da continuidade dos serviços. Base legal: interesse legítimo em proteger a rede e os sistemas (Art. 6.º(1)(f)) e cumprimento de obrigações legais em matéria de segurança de dados (p.ex. deveres impostos pelo RGPD em segurança, nomeadamente no Art. 32.º).
Exercício de direitos em processos judiciais e resposta a solicitações legais: utilização de dados pessoais conforme necessário para instaurar, exercer ou defender reclamações judiciais ou administrativas, seja pela AIM Cancer Center, seja no contexto de colaboração com autoridades (por exemplo, resposta a ordens judiciais, mandados ou solicitações da CNPD). Base legal: interesse legítimo na tutela dos nossos direitos (Art. 6.º(1)(f)) e/ou cumprimento de obrigação legal (Art. 6.º(1)(c)), conforme a situação. Tratando-se de categorias especiais de dados estritamente necessários para esse fim (p.ex. dados de saúde para comprovar diligências em tribunal), a base estará também enquadrada na exceção do Art. 9.º(2)(f) do RGPD (necessário para declaração, exercício ou defesa de um direito num processo judicial).
Cumprimento de obrigações legais específicas: tratamento de dados para cumprir obrigações setoriais, por exemplo obrigações de reporte às autoridades de saúde, registo e manutenção de arquivo clínico hospitalar, cumprimento de obrigações fiscais e contabilísticas, ou colaboração com entidades reguladoras. Base legal: cumprimento de obrigações jurídicas (Art. 6.º(1)(c)) – ver exemplos na seção de fundamentos acima (comunicações a ACSS, ERS, Autoridade Tributária, etc.).
Outras finalidades auxiliares ou complementares: poderemos tratar dados para melhoria contínua dos nossos serviços (p.ex. inquéritos de satisfação anonimizados ou minimamente invasivos), para atividades de auditoria e compliance interna, ou no âmbito de operações societárias (p.ex. transferência de dados em caso de fusão ou cisão, sempre no respeito das bases legais aplicáveis). Nestas situações, avaliaremos caso a caso a base legal aplicável (interesse legítimo, obrigação legal ou consentimento, conforme a natureza do tratamento) e informaremos os titulares conforme exigido.

Em qualquer caso, a AIM Cancer Center garante que não trata os dados para finalidades incompatíveis com as aqui descritas, nem procede a decisões exclusivamente automatizadas que produzam efeitos significativos sobre os titulares sem a devida base legal e informação prévia (nota: atualmente, a AIM Cancer Center não realiza perfilagens ou decisões automatizadas significativas sobre utentes ou clientes, dado que as decisões clínicas envolvem sempre intervenção humana qualificada; caso tal cenário mude no futuro, os titulares serão informados em conformidade).

6. Período de Conservação dos Dados Pessoais

A AIM Cancer Center trata e conserva os seus dados pessoais apenas pelo período estritamente necessário para prosseguir as finalidades específicas do tratamento, em respeito pelos prazos legalmente exigíveis ou recomendáveis. Isto significa que, uma vez atingida a finalidade para a qual os dados foram recolhidos, iremos eliminar ou anonimizar esses dados, salvo se existir obrigação legal de os manter por período adicional ou outro fundamento legítimo para a conservação.

Regras gerais de conservação: Em muitos casos, a duração do tratamento coincidirá com a duração da relação contratual ou do serviço prestado. Assim, se tivermos um contrato consigo (por exemplo, um contrato de prestação de cuidados de saúde ou um contrato de trabalho), os seus dados pessoais essenciais serão mantidos enquanto durar essa relação contratual. Posteriormente, alguns dados poderão continuar a ser conservados pelo tempo necessário ao cumprimento de obrigações pós-contratuais ou legais (por exemplo, prazos de garantia, prescrições legais ou pendência de processos judiciais). Temos igualmente obrigações legais que nos impõem prazos mínimos de retenção para certos tipos de dados: por exemplo, dados pessoais em documentos de faturação devem ser guardados por 10 anos para cumprimento das obrigações fiscais e contabilísticas (conforme legislação tributária portuguesa). Também poderemos reter determinados dados enquanto existirem processos judiciais, reclamações ou dívidas pendentes relativas aos titulares, pelo período necessário até resolução final dessas situações (assegurando então o seu apagamento oportuno). Expirados os prazos aplicáveis, procederemos à eliminação segura ou anonimização irreversível dos dados.

Conservação de imagens de videovigilância: As imagens recolhidas pelos nossos sistemas de CCTV nas instalações são conservadas por um período máximo de 30 (trinta) dias contados desde a respetiva captação. Este prazo está em conformidade com a legislação nacional de segurança privada e orientações da CNPD, que em regra limitam a retenção de gravações de videovigilância a 1 mês (salvo ocorrência de incidente que justifique conservar por mais tempo para efeitos probatórios). Assim, decorrido o prazo de 30 dias, as gravações são automaticamente eliminadas, exceto se tiver ocorrido algum incidente relevante no período em causa (por exemplo, um sinistro, furto ou outro ato ilícito) que justifique a conservação da gravação específica por um prazo superior, limitado à necessidade de entrega às autoridades competentes ou sustentar procedimentos legais. Nesses casos excecionais, as imagens em questão serão mantidas apenas pelo tempo adicional necessário e serão eliminadas logo que a finalidade da conservação extraordinária se esgote.

De uma forma geral, mantemos documentação interna que define os prazos de conservação aplicáveis a cada categoria de dados sob nossa guarda, tendo em conta a legislação e as recomendações da autoridade de controlo (CNPD). Procuramos assegurar que, cumprida a finalidade e decorrido o prazo necessário ou legalmente exigido, os dados pessoais são efetivamente eliminados ou anonimizados. Se, por motivos técnicos ou operacionais, não nos for possível eliminar/anonimizar imediatamente certos dados de backup, iremos isolá-los e protegê-los até que a eliminação seja viável. Caso tenha dúvidas sobre os prazos específicos de retenção aplicáveis aos seus dados pessoais em particular, poderá contactar-nos para esclarecimentos adicionais.

7. Direitos dos Titulares de Dados Pessoais

Enquanto titular de dados pessoais, assiste-lhe um conjunto de direitos relativamente aos dados que nos forneceu ou que recolhemos sobre si. A AIM Cancer Center valoriza estes direitos e coloca à sua disposição meios para o seu exercício, nos termos da legislação aplicável. Em resumo, tem direito a:

Direito de Acesso: obter confirmação sobre quais os dados pessoais que são ou não objeto de tratamento pela AIM Cancer Center e, quando forem, aceder aos mesmos e às informações associadas ao tratamento (finalidades, categorias de dados, destinatários a quem foram ou serão divulgados, prazos de conservação previstos, existência de direitos de retificação/eliminação/oposição, fonte dos dados, eventualmente a existência de decisões automatizadas). Mediante requisição, fornecer-lhe-emos cópia dos dados pessoais em tratamento, em formato eletrónico de uso comum ou outro formato adequado.
Direito de Retificação: solicitar a correção ou atualização dos seus dados pessoais caso estejam incorretos, desatualizados ou incompletos. É importante que os dados que tratamos sobre si sejam exatos e atuais; por isso, agradecemos que nos informe sempre que haja necessidade de alterar, por exemplo, o seu endereço de contacto ou outros detalhes relevantes.
Direito ao Apagamento dos dados (ou “direito a ser esquecido”): pedir a eliminação dos seus dados pessoais, nos casos em que tal seja legalmente admissível. Este direito pode ser exercido, por exemplo, quando os dados deixarem de ser necessários para a finalidade que motivou a sua recolha, quando retirar o consentimento (nos casos em que o tratamento se baseie unicamente no consentimento) ou quando se opuser a um tratamento baseado em interesse legítimo e não existirem interesses prevalecentes que o justifiquem. Importa notar, contudo, que este direito não é absoluto – poderá não ser possível eliminar imediatamente certos dados se subsistir um fundamento legítimo para a sua conservação (como o cumprimento de uma obrigação legal de retenção ou a necessidade de preservação para exercício de direitos em processo judicial). Nesses casos, informaremos o titular sobre os motivos da impossibilidade de eliminação e garantiremos que os dados se mantenham bloqueados para finalidades alheias.
Direito à Limitação do Tratamento: obter a restrição do tratamento dos seus dados pessoais, suspendendo-o temporariamente, em situações previstas no RGPD – por exemplo, enquanto se discute a exatidão dos dados (após solicitação de retificação) ou a legitimidade do tratamento (após oposição), ou ainda quando a AIM Cancer Center já não precisar dos dados, mas o titular nos solicita a sua conservação para efeitos de declaração, exercício ou defesa de um direito num processo judicial. Quando o tratamento é limitado, os dados (além da mera conservação) só podem ser tratados com o consentimento do titular ou para finalidades muito restritas (como referido no Art. 18.º do RGPD).
Direito de Portabilidade: receber os dados pessoais que nos forneceu, num formato estruturado, de uso corrente e de leitura automática, e transmitir esses dados a outro responsável pelo tratamento, ou solicitar, quando tecnicamente possível, que seja a AIM Cancer Center a transferi-los diretamente para outra entidade por si indicada. Este direito aplica-se apenas quando o tratamento se baseia no consentimento ou na execução de um contrato e seja realizado por meios automatizados.
Direito de Oposição: opor-se, por motivos relacionados com a sua situação particular, a um tratamento dos seus dados pessoais que assente no interesse legítimo do responsável. Nessa situação, avaliaremos a sua solicitação e cessaremos o tratamento em causa, exceto se tivermos razões imperiosas e legítimas para continuar ou se os dados forem necessários para estabelecimento, exercício ou defesa de um direito em processo judicial. Adicionalmente, tem sempre o direito de se opor, a qualquer momento e sem justificação, ao tratamento dos seus dados para fins de marketing direto, incluindo a definição de perfis que esteja relacionada com esse marketing. Caso exerça este direito de oposição no âmbito de marketing, cessaremos de imediato o uso dos seus dados para tal finalidade.
Direito de Retirar o Consentimento: nos casos em que o tratamento dos dados se baseie apenas no seu consentimento, tem o direito de, a qualquer momento, retirar esse consentimento. A retirada de consentimento não compromete a licitude de qualquer tratamento realizado anteriormente com base no consentimento previamente dado. Se retirar o consentimento para uma determinada finalidade, deixaremos de tratar os seus dados para esse fim específico (por exemplo, deixar de enviar newsletters), mas poderemos continuar a tratar os mesmos dados para outras finalidades se tivermos outra base legal para tal.

Além desses, assiste-lhe ainda o direito de não ficar sujeito a decisões automatizadas individuais (incluindo definição de perfis) que produzam efeitos na sua esfera jurídica ou o afetem significativamente, salvo nas exceções legalmente previstas. Nota: a AIM Cancer Center não utiliza processos de decisão exclusivamente automatizada sobre dados dos utentes que cumpram os critérios de relevo do Art. 22.º do RGPD, pelo que este direito, apesar de reconhecido, tem natureza algo teórica no nosso contexto (todas as decisões clínicas e de serviço envolvem intervenção humana qualificada). Caso venhamos a implementar algum sistema de decisão automatizada desse tipo, informaremos os titulares e asseguraremos o respeito pelos requisitos adicionais previstos em lei.

Como pode exercer os seus direitos? O exercício dos direitos é gratuito (exceto em casos de pedidos manifestamente infundados ou excessivos, em que poderemos cobrar uma taxa razoável ou recusar, nos termos do Art. 12(5) do RGPD) e pode ser feito a qualquer momento. Para exercer qualquer dos direitos acima referidos, deverá apresentar um pedido claro e por escrito, acompanhado de informação que permita confirmar a sua identidade (por exemplo, nome completo e, se necessário, cópia de documento de identificação, apenas para verificar que é efetivamente o titular dos dados). Esse pedido pode ser enviado por:

Email: através do endereço eletrónico [email protected];
Comunicação escrita: via carta remetida para a morada postal da AIM Cancer Center (endereçada ao Encarregado de Proteção de Dados) ou entregue presencialmente nas nossas instalações, contra receção;
Formulário online: caso a AIM Cancer Center disponibilize formulário dedicado à proteção de dados no website, poderá utilizá-lo (no presente, os canais principais são os indicados acima).

Daremos o nosso melhor para responder ao seu pedido com brevidade e dentro do prazo máximo de 1 mês a contar da receção do mesmo, conforme previsto no RGPD. Em situações de pedidos particularmente complexos ou múltiplos, esse prazo poderá ser prorrogado até 2 meses, mas nesse caso iremos informá-lo(a) dessa necessidade dentro do primeiro mês. A nossa resposta às suas solicitações será feita por escrito (normalmente por email, salvo pedido em contrário) e incluirá as informações previstas na lei. Se, por alguma razão, não pudermos dar seguimento ao seu pedido (por exemplo, por conflito com obrigações legais vigentes), apresentaremos uma justificação clara.

Por fim, recordamos que tem também o direito de apresentar reclamação junto da Autoridade de Controlo competente, se entender que o tratamento dos seus dados pela AIM Cancer Center viola o RGPD ou outras normas de proteção de dados. Em Portugal, a autoridade de controlo é a CNPD – Comissão Nacional de Proteção de Dados (website: www.cnpd.pt). Encorajamos, no entanto, que antes de qualquer reclamação nos contacte diretamente (por si ou através do nosso DPO) para podermos esclarecer ou resolver a sua questão prontamente – estamos empenhados em proteger os seus dados e endereçar qualquer preocupação de boa-fé que nos apresente.

8. Comunicação de Dados a Terceiros e Subcontratados

Com quem partilhamos os seus dados pessoais? No decurso da nossa atividade, e estritamente para as finalidades definidas, os seus dados pessoais poderão ser comunicados a terceiros quando tal seja necessário ou obrigatório. Garantimos que essa partilha ocorre dentro dos limites da lei e da presente Política, e que apenas fornecemos aos destinatários a informação indispensável para cada propósito legítimo. As principais categorias de destinatários ou terceiros a quem poderemos divulgar dados (conforme aplicável em cada caso) são:

Autoridades públicas e organismos oficiais: incluindo entidades governamentais ou reguladoras do setor da saúde (p.ex. Ministério da Saúde, DGS, ACSS, ERS), autoridades judiciais ou policiais, órgãos jurisdicionais ou autoridades administrativas independentes (como a CNPD, Autoridade Tributária, Segurança Social, ACT), quando tal comunicação seja exigida por lei ou necessária para cumprimento de obrigações legais/regulatórias.
Outros prestadores de cuidados de saúde ou entidades do setor da saúde: nos casos em que seja necessário envolver laboratórios de análises clínicas, clínicas ou hospitais parceiros, médicos referenciados ou outros profissionais de saúde externos no âmbito da prestação de cuidados ao utente. Nestas situações, a partilha dos dados de saúde será feita com o conhecimento e/ou a pedido do próprio utente (por exemplo, encaminhamento para outro especialista, pedido de exame complementar externo) e ao abrigo do dever de confidencialidade médica, garantindo-se que o destinatário está igualmente obrigado a sigilo. Do mesmo modo, se o utente estiver abrangido por um seguro de saúde ou subsistema e solicitar a acionação deste, poderemos comunicar os dados de faturação e informação clínica estritamente necessária à seguradora ou entidade pagadora, para efeitos de pagamento/reembolso dos serviços prestados.
Entidades financeiras e seguradoras: bancos, entidades processadoras de pagamentos, companhias de seguros de saúde ou de acidentes de trabalho, fundos de pensões, e outras entidades similares, quando o tratamento assim o exija. Por exemplo, para cobrança de serviços clínicos poderemos enviar referências de pagamento a bancos ou operadores de pagamentos; em caso de acidente de trabalho de um colaborador, teremos de notificar a seguradora respetiva com dados do sinistro; se for acionado um seguro de saúde pelo utente, poderemos confirmar à seguradora determinados dados do tratamento para validação da cobertura. Essas comunicações serão sempre feitas com base legal adequada (cumprimento de contrato de seguro, obrigação legal ou interesse legítimo, conforme o contexto).
Consultores externos e patrocinadores de investigação: em circunstâncias específicas, podemos ter de partilhar alguns dados pessoais com consultores jurídicos, auditores, peritos ou outros consultores contratados que estejam vinculados a dever de confidencialidade (por exemplo, no âmbito de auditorias de qualidade, avaliações de conformidade ou defesa jurídica), ou ainda – com consentimento prévio do titular, quando exigido – com entidades patrocinadoras de estudos clínicos ou projetos de investigação em que o utente participe (nesses casos, sempre que possível, os dados serão pseudonimizados ou anonimizados).
Prestadores de serviços (subcontratantes): parceiros e empresas externas que prestam serviços à AIM Cancer Center e que podem necessitar de tratar dados pessoais por conta da AIM Cancer Center (atuando, assim, como subcontratantes, nos termos do Art. 28.º do RGPD). Incluem-se, por exemplo: serviços de tecnologias de informação (manutenção de sistemas, alojamento de base de dados, provedor de serviços em cloud), serviços de arquivo e digitalização de documentos, empresas de destruição certificada de documentos, serviços de suporte informático e telecomunicações, empresas de segurança privada (no caso de vigilantes que possam ter acesso às imagens CCTV em tempo real), serviços de envio de correio ou logística, entre outros necessários à nossa atividade. Nestas situações, a AIM Cancer Center celebra contratos por escrito com tais entidades, impondo-lhes obrigações de proteção de dados equivalentes às que nós observamos, incluindo deveres de confidencialidade, medidas técnicas e organizativas adequadas à segurança da informação, e a garantia de atuação apenas segundo as nossas instruções explícitas. Em suma, os subcontratados não podem usar os dados para fins próprios e estão legalmente e contratualmente vinculados a proteger os dados pessoais que lhes confiamos. A AIM Cancer Center realiza uma seleção criteriosa desses parceiros e apenas recorre a entidades que ofereçam garantias suficientes de cumprimento das normas de proteção de dados.

Em qualquer partilha de dados com terceiros, a AIM Cancer Center adota o princípio do mínimo necessário, transmitindo apenas os dados adequados, pertinentes e limitados ao estritamente necessário para cumprir a finalidade em causa. Sempre que exigido por lei, solicitaremos o seu consentimento prévio ou dar-lhe-emos oportunidade de se opor a determinada transferência.

9. Transferências Internacionais de Dados

Como regra, a AIM Cancer Center trata e conserva os dados pessoais em servidores localizados dentro do Espaço Económico Europeu (EEE) ou em países que asseguram um nível de proteção equivalente ao da UE. Todavia, em certos casos pontuais, poderá haver necessidade de transferir alguns dados pessoais para fora do EEE – por exemplo, se recorrermos a serviços cloud ou plataformas digitais cujos servidores estejam localizados em países terceiros, ou se for necessário enviar informações para uma instituição de saúde em país terceiro por solicitação do titular.

Nessas situações de transferência internacional, a AIM Cancer Center cumpre rigorosamente as disposições legais aplicáveis (Artigos 44.º a 49.º do RGPD), assegurando que a transferência apenas ocorre para países considerados de nível adequado pela Comissão Europeia ou mediante a implementação de garantias adequadas aprovadas (tais como Cláusulas Contratuais-Tipo da Comissão Europeia, regras vinculativas aplicáveis ao subcontratante, ou acordo internacional específico). Forneceremos informações adicionais relevantes ao titular sempre que necessário, e suspenderemos qualquer transferência de dados para fora da UE se não estiverem reunidas as condições de segurança e legalidade exigidas.

Em suma, caso os seus dados tenham de ser transferidos para fora de Portugal/UE, garantiremos que continuam protegidos segundo os padrões europeus, mantendo-o informado conforme previsto na lei. Para mais detalhes sobre as transferências internacionais de dados (ou para obter cópia das garantias implementadas), poderá contactar-nos através dos canais disponibilizados.

10. Videovigilância e Segurança Física nas Instalações

A AIM Cancer Center utiliza sistemas de videovigilância (CCTV) nas suas instalações, em locais estratégicos de acesso e circulação pública (por exemplo, entradas principais, receção, corredores de acesso restrito, estacionamentos), com o objetivo de assegurar a segurança de pessoas e bens, prevenir a ocorrência de incidentes ilícitos e dissuadir a prática de crimes no perímetro monitorizado. A existência de câmaras de videovigilância está devidamente sinalizada através de avisos claros colocados nas áreas vigiadas, contendo a informação legalmente exigida (pictograma de câmara e indicação sucinta da finalidade e da entidade responsável). Esta medida visa garantir que todos os colaboradores e demais visitantes tenham conhecimento prévio da captação de imagens, em cumprimento da Lei n.º 34/2013 (regime da segurança privada) e das orientações da CNPD sobre videovigilância.

Finalidade e base legal: A finalidade exclusiva da videovigilância é a segurança – proteção dos colaboradores, dos visitantes e das instalações contra eventos de furto, vandalismo, violência ou outras emergências de segurança. Não utilizamos as imagens para qualquer outro propósito (por exemplo, controlo de desempenho de trabalhadores ou monitorização de visitantes sem relação com segurança). A base legal principal para este tratamento é o interesse legítimo da AIM Cancer Center em garantir a segurança (Art. 6.º(1)(f) RGPD), conjugado com a habilitação legal conferida pela legislação de segurança privada que permite a instalação de CCTV em estabelecimentos privados para proteção de pessoas e bens. Em determinadas situações, o tratamento (visualização e entrega de gravações) pode também ser necessário para cumprimento de obrigação legal (por ex., atender a um pedido das autoridades policiais ou judiciárias no âmbito de uma investigação criminal).

Localização das câmaras: Por motivos de segurança, não divulgamos publicamente a localização exata e o número de câmaras instaladas. No entanto, podemos informar que as câmaras cobrem apenas áreas comuns e de acesso público ou de segurança nas instalações da AIM Cancer Center, não havendo câmaras em zonas privadas como gabinetes privados, instalações sanitárias, salas de espera privadas ou outros locais onde possa existir expectativa elevada de privacidade. As câmaras estão posicionadas de forma a não captarem imagens desnecessárias de vias públicas exteriores (salvo o estritamente necessário para cobrir entradas) nem interiores de espaços de terceiros.

Acesso às imagens: As imagens gravadas pelo sistema de CCTV são armazenadas de forma segura e com acesso restrito. Apenas pessoas autorizadas pela AIM Cancer Center, no âmbito das suas funções de segurança ou administração (por exemplo, o responsável pela segurança das instalações ou direção administrativa), ou eventualmente a empresa de segurança privada subcontratada (caso a monitorização esteja externalizada), podem aceder às gravações, e sempre sob obrigações de confidencialidade rigorosas. O acesso ocorre somente em caso de necessidade (p.ex., para verificar um incidente de segurança relatado). Todas essas pessoas estão sujeitas a dever legal e contratual de sigilo quanto às imagens. Em caso de incidente relevante, as imagens pertinentes poderão ser transmitidas às autoridades competentes (forças de segurança ou tribunais), mediante requisição legal, para fins de investigação. As gravações não são em caso algum disponibilizadas publicamente nem usadas internamente para finalidades alheias à segurança.

Prazos de conservação: Conforme já referido na Secção 6, as gravações de videovigilância são conservadas por um período máximo de 30 dias desde a sua captação, findo o qual são automaticamente eliminadas (sobregravadas), salvo se dentro desse prazo for detetado um incidente que justifique a conservação por período superior. Se, por exemplo, for reportado um furto ou outro evento relevante captado pelas câmaras, as imagens necessárias à prova desse evento poderão ser isoladas e conservadas por tempo adicional, estritamente até à conclusão da investigação ou processo legal associado, após o que serão imediatamente eliminadas. Este procedimento está alinhado com a lei aplicável e as melhores práticas setoriais, garantindo que não retemos dados de videovigilância mais tempo do que o necessário.

Direitos dos titulares relativamente às imagens: Qualquer titular de dados tem o direito de nos contactar para solicitar o acesso às imagens de CCTV em que eventualmente apareça (direito de acesso, na medida em que tal não afete direitos de terceiros), bem como para exercer os restantes direitos mencionados na Secção 7 (por exemplo, oposição ou limitação, se aplicável). Note-se que, por razões técnicas e de segurança, os pedidos de acesso a gravações de videovigilância devem indicar a data, hora e local aproximado em que o titular esteve sob vigilância, para podermos identificar a existência de imagens que o retratem. Teremos igualmente de assegurar que o acesso de um titular não compromete a privacidade de terceiros presentes nas imagens – caso necessário, poderemos proceder a medidas de ocultação (“blur”) de terceiros ou convidar o titular a visionar as imagens presencialmente nas nossas instalações, em ambiente controlado. A eliminação antecipada de gravações também pode ser solicitada, mas só será realizada se não colidir com os nossos interesses legítimos de segurança ou obrigações legais (por exemplo, se as imagens não forem mais necessárias porque o titular provou que a captação foi irregular). Todas as solicitações serão apreciadas caso a caso, segundo a lei, e deverão ser dirigidas ao nosso Encarregado de Proteção de Dados, conforme os contactos infra.

Nota: Dado que a AIM Cancer Center é uma clínica virtual, que presta cuidados oncológicos sobretudo à distância e por via digital, a presença física de um utente nas instalações da AIM Life constitui uma situação excecional e de ocorrência residual. Por este motivo, não se espera que, no âmbito desta secção, os dados tratados tenham os utentes como titulares.

11. Medidas de Segurança Técnicas e Organizativas

A AIM Cancer Center adota medidas de segurança de natureza técnica e organizativa adequadas para proteger os dados pessoais contra destruição, perda, alteração, difusão ou acesso não autorizados, bem como contra qualquer forma de tratamento acidental ou ilícito. Estamos conscientes da sensibilidade especial de muitos dos dados que tratamos (nomeadamente dados de saúde) e, por isso, implementámos salvaguardas reforçadas nesse âmbito. De modo geral, destacamos as seguintes medidas e práticas de segurança em vigor:

Controlo de acessos e restrição por perfil: Os dados pessoais são acessíveis apenas a colaboradores da AIM Cancer Center ou subcontratados que efetivamente necessitem desses dados para desempenhar as suas funções (princípio do need-to-know). Em especial, dados clínicos e de saúde de utentes são acessíveis unicamente por profissionais de saúde diretamente envolvidos nos cuidados (médicos, enfermeiros, técnicos) e por pessoal de apoio sob supervisão (p.ex. pessoal administrativo que insira dados no processo, ou técnicos de informática que mantenham sistemas), todos eles vinculados por deveres legais e contratuais de sigilo e confidencialidade. Empregamos sistemas de autenticação fortes (credenciais únicas, palavras-passe robustas e periodicamente renovadas, cartões/chaves de acesso, etc.) para garantir que apenas utilizadores autorizados entram em bases de dados ou áreas físicas restritas.
Formação e sensibilização: Todos os colaboradores da AIM Cancer Center, em especial aqueles que lidam com dados pessoais (sobretudo dados sensíveis), recebem formação em proteção de dados e segurança da informação de forma periódica. São igualmente obrigados a assinar acordos de confidencialidade no início das funções e a cumprir rigorosamente as políticas internas de proteção de dados. A cultura de privacidade é reforçada através de comunicados internos, sessões de esclarecimento conduzidas pelo DPO e atualizações sempre que necessário, assegurando que o dever de sigilo profissional e a proteção de dados pessoais são valores incutidos em toda a organização.
Proteções tecnológicas: Utilizamos soluções técnicas de segurança de reconhecida fiabilidade, tais como firewalls para proteção perimetral da rede, sistemas de deteção e prevenção de intrusões (IDS/IPS), antivírus e antimalware atualizados, mecanismos de cifra/encriptação de dados sensíveis (em repouso e em transito, quando aplicável), e backups regulares dos sistemas críticos (armazenados de forma segura, com acesso controlado). Os nossos servidores e infraestruturas são mantidos em centros de dados com controlos de segurança físicos robustos e redundância, mitigando riscos de falhas ou acessos indevidos.
Pseudonimização e minimização: Sempre que possível e adequado, recorremos à pseudonimização de dados pessoais, especialmente em contextos de tratamento secundário (por ex., investigação clínica ou estatísticas internas), de forma que os titulares não sejam diretamente identificáveis sem recurso a informação adicional separada. Mantemos políticas de minimização que determinam que cada departamento ou sistema apenas recolha os dados necessários para a finalidade pretendida (evitando colher excessos) e que tais dados sejam armazenados pelo menor tempo necessário (conforme Secção 6).
Registo de atividades e auditorias: Mantemos registos de log de acessos e operações efetuadas em sistemas que tratam dados pessoais, particularmente nos sistemas de gestão de processo clínico, de modo a permitir a monitorização e auditoria de acessos indevidos ou consultas indevidas de dados. Realizamos auditorias internas periódicas (e, quando necessário, auditorias externas independentes) para avaliar a conformidade das práticas com as políticas e requisitos legais, cobrindo entre outros a segurança da informação.
Planos de resposta a incidentes: Em caso de incidente de segurança que afete dados pessoais, todos os colaboradores devem comunicar de imediato a ocorrência ao DPO e à gestão de topo, para permitir a rápida contenção e correção da situação, a avaliação dos riscos para os titulares e, sempre que aplicável, a notificação à CNPD e aos próprios titulares afetados, nos termos dos Artigos 33.º e 34.º do RGPD.
Avaliação e revisão contínua: As medidas de segurança implementadas são periodicamente reavaliadas e atualizadas em função da evolução tecnológica, de novas ameaças identificadas ou de alterações no contexto de risco. Adicionalmente, para novos projetos, produtos ou serviços que envolvam dados pessoais, aplicamos o princípio privacy by design e realizamos avaliações de impacto sobre a proteção de dados (Data Protection Impact Assessments), sempre que o tratamento proposto seja suscetível de implicar elevado risco para os direitos dos titulares (Art. 35.º RGPD).

Com estas medidas, a AIM Cancer Center visa cumprir integralmente o disposto no Art. 32.º do RGPD e demais normas nacionais pertinentes, assegurando um nível de segurança adequado ao risco. Não obstante todos os esforços, é importante referir que nenhum sistema de segurança é absolutamente infalível; ainda assim, comprometemo-nos a implementar todas as diligências razoáveis para proteger os dados pessoais e a atuar prontamente caso ocorra alguma situação de violação ou suspeita de violação de dados, mitigando eventuais efeitos adversos.

12. Contactos

Autoridade Nacional de Proteção de Dados: Reiteramos que, caso entenda necessário, tem o direito de apresentar uma reclamação à Comissão Nacional de Proteção de Dados (CNPD), entidade reguladora em Portugal para estas matérias. A AIM Cancer Center espera, ainda assim, poder corresponder satisfatoriamente a todas as suas preocupações sem necessidade de envolvimento da CNPD, cumprindo voluntariamente e de boa-fé as melhores práticas de proteção de dados.

A AIM Cancer Center agradece a confiança depositada e assegura que os dados pessoais que lhe são confiados serão tratados com elevado sentido de responsabilidade, confidencialidade e integridade. Esta Política de Privacidade reflete o nosso compromisso contínuo em respeitar a sua privacidade e cumprir escrupulosamente a legislação de proteção de dados aplicável. Em caso de dúvida sobre qualquer conteúdo desta Política ou sobre como exercer os seus direitos, não hesite em contactar o nosso DPO ou os nossos serviços. Estamos ao dispor para auxiliar e esclarecer, porque a proteção dos seus dados é, para nós, tão importante quanto a prestação de cuidados de excelência.

Ainda tem dúvidas?

Contacte-nos