Guia 10/12

Proteção de dados

Os dados de saúde são dados de categoria especial (RGPD, art. 9.º). A API aplica as mesmas proteções que os ecrãs da própria clínica.

O que uma integração recebe

• Só os módulos dos seus âmbitos, dentro da sua clínica. Os campos protegidos por outra permissão são retirados das respostas — nunca seguem «vazios».
• Dados administrativos e comerciais (identificação, contactos, marcações, pagamentos, indicadores) pelos âmbitos correspondentes.
• O conteúdo dos webhooks e os indicadores não têm dados clínicos, por construção.

Âmbitos clínicos

ficha.clinica, ficha.fotografias e ficha.captura (anamnese, diagnóstico, fotografias, capturas 3D) exigem uma justificação clínica escrita, aprovada pela direção clínica da clínica, e cada leitura fica na auditoria imutável com a integração como autora. As integrações comerciais e de receção nunca recebem conteúdo clínico.

As suas obrigações

• Assine com a clínica um acordo de subcontratação e mantenha os dados na UE, salvo acordo em contrário.
• Guarde só o necessário, cifrado em repouso; nunca ponha dados pessoais em endereços ou registos técnicos.
• Cumpra os pedidos de apagamento e oposição que a clínica lhe encaminhe; pare o tratamento quando a integração for revogada.
• Comunique incidentes de segurança à clínica sem demora (prazo legal de 72 h para a autoridade).