Política de Privacidade

1. Responsáveis pelo tratamento

Para os dados de conta e faturação do Profissional (nutricionista) e dos membros da sua equipa, para os dados de quem visita o site ou pede o período experimental e para os registos técnicos de segurança e de erros, a responsável pelo tratamento é a Limaj C - Consultoria e Gestão, Lda, NIPC 510467083, contacto [email protected] (identificação completa nos Termos de Serviço). Para os dados dos pacientes e das pessoas que pedem uma marcação, o responsável pelo tratamento é o próprio Profissional; a Limaj C - Consultoria e Gestão, Lda atua apenas como subcontratante, tratando esses dados exclusivamente para prestar o serviço e seguindo as instruções do Profissional, nos termos do Acordo de Tratamento de Dados que faz parte do contrato com cada Profissional.

Tratamos os dados da conta para celebrar e cumprir o contrato, e os pedidos de período experimental para lhes responder; os dados de faturação para cumprir obrigações fiscais; e os registos técnicos, as estatísticas e o envio de novidades sobre a plataforma por interesse legítimo na segurança, na melhoria e na divulgação do serviço (RGPD, art. 6.º, n.º 1, alíneas b), c) e f)).

2. Que dados são tratados

• Dados de conta do Profissional e dos membros da sua equipa: nome, email, telefone, nome e morada do consultório, número de cédula profissional, logótipo, plano e estado da subscrição, dados de faturação, utilização das funções incluídas no plano, quem convidou a conta (programa de convites), os identificadores da conta na Stripe, a data do último acesso, os dias em que usou a aplicação com uma estimativa do tempo em cada dia (só o dia e o tempo, nunca o que fez nem o conteúdo, para acompanharmos a conta, darmos apoio e melhorarmos o serviço), enquanto a aplicação está aberta a secção em que se encontra (por exemplo «Pacientes» ou «Planos alimentares», nunca o paciente nem o conteúdo, para a equipa beryvo poder ajudar no momento), as conversas com a equipa beryvo (no botão «Falar connosco» e no Suporte) e o registo de que aceitou os Termos e o Acordo de Tratamento de Dados (data e versão). Numa equipa de nutricionistas com a supervisão clínica, também a resposta que deu ao pedido (aprovou, recusou ou retirou a aprovação, com a data) e o registo de quem abriu as fichas dos seus pacientes (o nome de quem abriu, o paciente e a data). Numa equipa em que a clínica recebe os pagamentos por todas, também a resposta que deu a esse pedido (aceitou, recusou ou deixou de aceitar, com a data). Quando a conta nasce de um convite (de um Profissional, de uma equipa ou da beryvo), o email é-nos dado por quem convida. Quem pede acesso no site dá-nos o nome e o email e, se quiser, a cédula profissional, onde trabalha, quantos pacientes acompanha, o programa que usa hoje, o telemóvel e uma mensagem; guardamos também a página e a origem por onde chegou, a decisão sobre o pedido e um resumo irreversível do endereço de internet, para travar pedidos em massa. Quem pede acesso no formulário de um anúncio da beryvo no Facebook ou no Instagram dá-nos, através da Meta, o nome, o email e as respostas a esse formulário, que a Meta também guarda segundo as suas próprias regras. Usamos estes dados só para decidir o pedido e falar consigo.
• Dados dos pacientes, geridos pelo Profissional: identificação, contactos, história clínica, medidas antropométricas, planos alimentares, diário alimentar, hábitos e registos de bem-estar, mensagens (incluindo as fotografias enviadas na conversa), respostas a questionários, documentos e análises clínicas, fotografias do diário, de progresso e de perfil, pagamentos, publicações na Comunidade (quando o Profissional a usa e o paciente adere) e as opiniões que o paciente deixa sobre as receitas (só visíveis para o Profissional).
• Gravações de consultas, quando o Profissional usa essa funcionalidade e o paciente o autoriza: o áudio serve só para fazer a transcrição e é apagado quando ela fica pronta ou nas 24 horas seguintes (se a transcrição falhar ou a gravação ficar por terminar, fica guardado até lá); a transcrição e o resumo ficam na consulta, para o Profissional.
• Registos das ações do Profissional sobre os dados dos pacientes (o que foi criado, alterado, exportado ou apagado, e quando), para uso do próprio Profissional.
• Registos de erros da aplicação (a mensagem e o local do erro no código, a página, o tipo de browser, a versão da aplicação e, se houver sessão iniciada, a conta em que aconteceu), para corrigir falhas. Foram feitos para não levar o conteúdo das fichas (podem levar o identificador interno da ficha que estava aberta) e são apagados ao fim de 30 dias.
• Registos técnicos de segurança: para travar tentativas repetidas nas páginas públicas (pedir o período experimental ou uma subscrição, abrir ou aceitar um convite, ver a página de marcação, marcar uma consulta, responder a uma proposta de nova hora e abrir ou responder a um questionário), guardamos o endereço IP de onde vêm os pedidos e quantos foram; estes registos são apagados ao fim de dois a três dias. O serviço de autenticação guarda, para cada sessão iniciada, o endereço IP e o tipo de browser. Os fornecedores de alojamento (Supabase e Cloudflare) guardam também, por pouco tempo, os registos técnicos habituais de cada ligação.
• Estatísticas do site público (beryvo.com): contamos visitas e cliques nos botões, com a página por onde a visita entrou, a origem (por exemplo, o site de onde veio) e a língua. Não usamos cookies, e estas estatísticas não guardam o endereço IP nem nada que identifique quem visita. No dispositivo fica só o que é preciso para o site funcionar como foi pedido: a língua, se a mudar, o ficheiro que permite instalar a aplicação e receber notificações e, se uma página falhar ao carregar, a hora dessa tentativa (apagada ao fechar o separador). Com sessão iniciada, ficam também a sessão, o tema escolhido, o número de avisos por ler que aparece no ícone da aplicação e, numa gravação, o áudio que ainda não foi enviado, até ser enviado. Nada disto serve para o seguir nem para publicidade.

3. Onde ficam guardados e quem os recebe

Base de dados, ficheiros e autenticação: Supabase, alojada na União Europeia (Irlanda). Alojamento da aplicação e DNS: Cloudflare. Envio de emails: Resend. Pagamentos: Stripe. Faturas da subscrição do Profissional (nome, morada, email e NIF de faturação): InvoiceXpress. Transcrição das consultas gravadas (quando o Profissional usa essa funcionalidade): Google Cloud. Notificações no telemóvel ou no browser, para quem as ativa: os serviços de notificações da Apple, da Google, da Mozilla e da Microsoft, que recebem o texto cifrado. Pesquisa de produtos pelo código de barras ou pelo nome: a base pública Open Food Facts, que recebe só o código ou o texto procurado e, na leitura de um código de barras, o endereço IP do dispositivo. Funções com inteligência artificial (resumo das consultas, leitura de análises, estimativa das calorias por fotografia e sugestão de plano alimentar, só quando usadas): Anthropic.

Os fornecedores que tratam dados só para prestar o serviço, a pedido nosso, são a Supabase, a Cloudflare, a Resend, a Google Cloud, a Anthropic e o InvoiceXpress. Segundo os termos comerciais da Anthropic, os dados enviados para as funções com inteligência artificial não são usados para treinar modelos. A Stripe trata os dados dos pagamentos também por conta própria, para cumprir as regras a que está sujeita, como a prevenção de fraude; os dados de faturação do Profissional são os que ele indicar na página de pagamento da Stripe, que no-los transmite. Os serviços de notificações dependem do browser ou do telemóvel de cada pessoa e a Open Food Facts é uma base pública: não têm contrato connosco, recebem só o que está descrito acima e tratam-no segundo as suas próprias regras. No programa de convites, quem convidou um Profissional vê o primeiro nome dele e fica a saber que subscreveu.

Faturas dos pagamentos dos pacientes: quando o Profissional liga à beryvo o seu próprio programa de faturação (Vendus ou InvoiceXpress), a beryvo envia a esse programa, por instrução do Profissional e para cada fatura que ele pedir, o nome, o NIF, o email e a morada do paciente, e a descrição, o valor, a data e o método do pagamento. A descrição segue como o Profissional a escreveu; a beryvo não envia mais nada da ficha. O NIF que o paciente escreve ao pagar online é usado na fatura desse pagamento, e só fica guardado na ficha quando paga a partir da app, com a sessão iniciada, e a ficha não tinha nenhum. Esse programa é um fornecedor do Profissional (ou da clínica que fatura as consultas), escolhido por ele e com quem ele tem o seu próprio contrato: não é um fornecedor da beryvo, e trata esses dados segundo esse contrato e as regras fiscais a que está sujeito. Numa equipa em que a clínica fatura as consultas, quem a administra vê, de cada fatura pedida ao programa da clínica pelas nutricionistas que o tenham aceitado (incluindo as que não cheguem a sair), o nome, o NIF, o email e a morada do paciente, a descrição e o valor.

Alguns destes fornecedores podem tratar dados fora do Espaço Económico Europeu, em particular nos Estados Unidos (é o caso da Anthropic e da Resend e, em parte, da Stripe e da Cloudflare). Essas transferências fazem-se ao abrigo das cláusulas contratuais-tipo aprovadas pela Comissão Europeia ou de outro mecanismo previsto no RGPD, como o Quadro de Privacidade de Dados UE-EUA, quando o fornecedor o tiver. Pode pedir-nos uma cópia dessas garantias para [email protected].

4. Segurança

Cada Profissional só acede aos dados dos seus próprios pacientes: a separação é imposta na base de dados, pedido a pedido. Na aplicação, um membro da equipa de apoio convidado pelo Profissional vê apenas a agenda, o contacto dos pacientes e as alergias registadas (para preparar a consulta), os planos alimentares (se o Profissional não lhe retirar essa permissão) e, se o Profissional o permitir, os pagamentos; não vê o resto dos dados clínicos. Quando vários Profissionais da mesma clínica se juntam numa equipa, quem a administra vê a lista de pacientes de todas as contas (o nome, o Profissional que acompanha cada um, se está arquivado, se usa a aplicação e as datas da última e da próxima consulta), a agenda (o nome do paciente, a data, a duração, o tipo e o estado das consultas) e o registo das transferências, e pode transferir a ficha de um paciente para outro Profissional da equipa, incluindo para si; não vê dados clínicos de pacientes que não sejam seus, a não ser que a equipa tenha a supervisão clínica ligada e o Profissional que acompanha o paciente o tenha aprovado: nesse caso pode consultar a ficha, sem a alterar e sem as mensagens, os pagamentos, os contactos do paciente, as fotografias de evolução e as gravações das consultas, e cada acesso fica registado. Se a equipa escolher que a clínica recebe os pagamentos por todas e o Profissional que acompanha o paciente o aceitar, quem recebe pela equipa vê cada pagamento recebido pela clínica (a data, o Profissional, o nome do paciente, a descrição, o valor e o que tenha sido devolvido, o método, se é um sinal e a fatura), mesmo depois de deixar a equipa, e os pagamentos online desses pacientes são feitos na conta Stripe de quem recebe pela equipa. O paciente é avisado na aplicação quando passa a ser acompanhado por outro Profissional. A comunicação é sempre cifrada (HTTPS). Na aplicação, a equipa da beryvo só vê os dados clínicos de uma conta com autorização do Profissional, por tempo limitado; sem ela, vê apenas o nome, o email, o estado (ativo ou inativo) e a data do último acesso dos pacientes que têm conta na aplicação, e o Profissional que os acompanha.

5. Quanto tempo guardamos os dados

Os dados de um paciente são guardados enquanto a conta do Profissional existir. Quando a subscrição termina, os dados não são apagados e o Profissional continua a poder exportar os registos. A pedido do Profissional, a conta e os dados dos pacientes são eliminados no prazo de 30 dias; se a conta estiver em pausa há mais de 12 meses (sem período experimental, subscrição nem outro acesso em vigor), podemos eliminá-los depois de avisar o Profissional por email com 30 dias de antecedência. Se formos nós a terminar o contrato, a conta fica aberta para exportação durante 30 dias e depois é eliminada, com os dados dos pacientes. É ao Profissional que cabe cumprir os prazos de conservação que a lei exige para os registos clínicos.

Os dados da conta do Profissional são guardados enquanto a conta existir; os de faturação, durante 10 anos, como a lei fiscal obriga. O registo dos dias de utilização é apagado ao fim de 13 meses, e a secção da aplicação em que a conta estava, ao fim de 2 dias. Um pedido de acesso fica guardado durante 12 meses, para reconhecermos um pedido repetido, e depois é apagado; pode pedir-nos que o apaguemos antes.

Depois de uma conta ser eliminada, guardamos as faturas e o registo dos pagamentos que o Profissional nos fez (com o nome da conta, a data e o valor), o registo de que a conta foi eliminada e o registo de que o Profissional aceitou os Termos e o Acordo de Tratamento de Dados (pelo tempo necessário para fazer prova do contrato). Guardamos também, pelo mesmo motivo, o historial da supervisão clínica das equipas de que a conta fez parte: quem a ligou e desligou e quem aprovou, recusou ou retirou a aprovação, com o nome e a data; e o historial da escolha de a clínica receber os pagamentos por todas: quem a ligou e desligou e quem aceitou, recusou ou deixou de aceitar, com o nome e a data. O registo de quem abriu cada ficha pela supervisão é apagado com a ficha do paciente ou com a conta do Profissional que o acompanhava. O pedido ou o convite que deu origem à conta (nome, email e origem) fica guardado até nos pedir que o apaguemos.

6. Os seus direitos

Se é paciente: o responsável pelos seus dados é o Profissional que o acompanha. É a ele que deve pedir para aceder aos seus dados, corrigi-los, recebê-los em formato digital, apagá-los, limitar o seu tratamento ou opor-se a ele, e retirar um consentimento que tenha dado, por exemplo para a gravação de consultas ou para a Comunidade (estes dois também se retiram na aplicação). A plataforma dá ao Profissional as ferramentas para responder. Se nos escrever a nós, encaminhamos o pedido para o seu Profissional.

Se é Profissional ou membro de uma equipa: pode pedir-nos o acesso, a correção, o apagamento, a limitação e a portabilidade dos dados da sua conta, e opor-se ao tratamento que fazemos com base no interesse legítimo (registos técnicos, estatísticas e novidades), por email para [email protected]. Pode deixar de receber as novidades por email em Definições, em Notificações. O nome e o email são necessários para criar a conta, e os dados de faturação para emitir a fatura: sem eles não conseguimos prestar o serviço.

Não tomamos decisões automatizadas com efeitos jurídicos ou semelhantes: as funções com inteligência artificial produzem rascunhos e estimativas. O Profissional revê-os antes de os guardar na ficha; a estimativa das calorias por fotografia e a leitura de análises pedidas pelo próprio paciente aparecem primeiro ao paciente, como resultados automáticos, e o Profissional vê-os depois.

Em qualquer caso, pode apresentar reclamação à autoridade de controlo, a Comissão Nacional de Proteção de Dados (CNPD, www.cnpd.pt).

7. Contacto para questões de proteção de dados

[email protected]

8. Ligação ao Google Calendar

A ligação ao Google Calendar é opcional e feita pelo Profissional nas Definições. Quando ligada, a beryvo acede aos eventos dos calendários de que o Profissional é dono (autorização calendar.events.owned), apenas para criar, atualizar e apagar os eventos das consultas marcadas na beryvo, incluindo o link do Google Meet nas consultas online. Não acede a calendários partilhados por outras pessoas, a emails, a contactos nem a ficheiros.

Da conta Google, a beryvo guarda só o necessário para esta ligação: os tokens de acesso (cifrados), o email da conta ligada e, em cada consulta, o identificador do evento criado pela beryvo e o link do Google Meet.

Os dados do Google não são vendidos, não são usados para publicidade e não são partilhados com terceiros (exceto quando necessário para prestar este serviço ou por obrigação legal).

Os dados do Google nunca são enviados a serviços de inteligência artificial e nunca são usados para criar, treinar ou melhorar modelos de inteligência artificial ou de aprendizagem automática, nossos ou de terceiros, nem em bruto nem agregados, anonimizados ou derivados. As funções com inteligência artificial da beryvo (secção 3) tratam apenas o que é escrito ou enviado na própria beryvo (notas, gravações de consultas, fotografias e documentos), nunca dados do Google Calendar.

O Profissional pode desligar a ligação a qualquer momento nas Definições da beryvo ou na sua conta Google; ao desligar, o acesso é revogado e os tokens são apagados.

A utilização e a transferência, para qualquer outra aplicação, de informações recebidas das APIs da Google cumprem a Google API Services User Data Policy, incluindo os requisitos de Uso Limitado (Limited Use).

9. Google user data (English summary)

What we access: when a nutritionist chooses to connect Google Calendar, beryvo accesses the events on the Google calendars she owns (scope calendar.events.owned). It does not access calendars shared by other people, emails, contacts or files.

How we use it: only to create, update and delete the calendar events for the appointments she schedules in beryvo, including the Google Meet link for online appointments.

What we store: only what the integration needs: the access tokens (encrypted, on servers in the European Union), the email of the connected Google account and, for each appointment, the ID of the event beryvo created and its Google Meet link.

Sharing: Google user data is not sold, not used for advertising, and not shared with third parties except as needed to provide this feature or when required by law.

Artificial intelligence: Google user data is never sent to any AI or machine learning service, and is never used to create, train or improve any AI or machine learning model, whether ours or a third party's, in raw, aggregated, anonymized or derived form. beryvo's AI features (see section 3: consultation summaries, reading of lab reports, calorie estimates from meal photos and meal plan suggestions, provided through the Anthropic API, and transcription of recorded consultations, provided through Google Cloud Speech-to-Text) only process content that users write or upload in beryvo itself, never Google Calendar data. We do not use AI aggregators, gateways or model hubs.

Disconnecting: the nutritionist can disconnect at any time in beryvo Settings or in her Google Account; disconnecting revokes access and deletes the stored tokens.

beryvo's use and transfer of information received from Google APIs to any other app will adhere to the Google API Services User Data Policy, including the Limited Use requirements.