Acordo de Tratamento de Dados (DPA)

1. Partes e funções

O cliente é o responsável pelo tratamento e a Salvus é a subcontratante. A Salvus trata os dados pessoais apenas com base em instruções documentadas do cliente, salvo obrigação legal em contrário.

2. Objeto e duração

O tratamento tem por objeto a prestação da plataforma de Segurança e Saúde no Trabalho e dura enquanto vigorar a subscrição, incluindo o período de retenção e de devolução ou eliminação dos dados.

3. Natureza dos dados

São tratados dados de trabalhadores abrangidos pelos serviços do cliente, incluindo dados de identificação, função, formação e dados de saúde relativos à aptidão para o trabalho (categoria especial).

4. Obrigações da Salvus

A Salvus garante a confidencialidade, aplica medidas técnicas e organizativas adequadas, assiste o cliente no cumprimento dos seus deveres e disponibiliza informação para demonstrar a conformidade.

5. Subcontratantes ulteriores

A Salvus recorre aos seguintes subcontratantes ulteriores, cada um sujeito a obrigações de proteção de dados equivalentes: (a) Supabase Inc. (região UE) — alojamento de base de dados e autenticação; (b) Resend Inc. (CCE UE) — e-mail transacional, utilizado para relatórios periódicos de SST que podem conter o estado de aptidão e agendamento de exames dos trabalhadores; (c) Vercel Inc. (CCE UE) — alojamento da aplicação. Quando as funcionalidades de IA estão ativas (SALVUS_AI_MOCK=0), dados contextuais estruturais (sem registos de saúde individuais) podem ser enviados à Anthropic ou OpenAI ao abrigo de Cláusulas Contratuais-Tipo. O cliente é informado de alterações e pode opor-se com fundamento legítimo.

6. Transferências internacionais

Os dados são armazenados e tratados na União Europeia (região EU do Supabase). Os subcontratantes fora da UE (Vercel, Resend, fornecedores de IA quando ativos) operam ao abrigo de Cláusulas Contratuais-Tipo nos termos do artigo 46.º, n.º 2, alínea c) do RGPD. Os dados de saúde (categoria especial) nunca são transferidos para fornecedores de IA.

7. Violações de dados

A Salvus notifica o cliente sem demora injustificada após ter conhecimento de uma violação de dados pessoais, prestando a informação necessária ao cumprimento dos deveres de notificação do cliente.

8. Devolução e eliminação

Terminado o contrato, e à escolha do cliente, a Salvus devolve ou elimina os dados pessoais, salvo obrigação legal de conservação.

9. Auditoria

A Salvus disponibiliza a informação razoavelmente necessária para demonstrar o cumprimento deste acordo e permite auditorias nos termos acordados entre as partes.

10. Limitação de certificação médica

A Salvus é uma plataforma de gestão de SST e não um dispositivo médico nem prestador de cuidados de saúde. A plataforma armazena e organiza dados produzidos por profissionais habilitados (médicos do trabalho, técnicos de SST certificados) ao abrigo da Lei n.º 102/2009 e da Ordem dos Médicos. Os pareceres de aptidão, fichas clínicas e certificados de aptidão devem ser emitidos exclusivamente por profissionais qualificados. A plataforma não gera automaticamente diagnósticos médicos nem determina a aptidão para o trabalho. As funcionalidades de IA (pré-preenchimento de riscos, elaboração de relatórios, triagem de prazos) operam apenas sobre dados estruturais de SST e não constituem aconselhamento médico. Os clientes são os únicos responsáveis por garantir que os seus profissionais detentores das certificações exigidas pela lei portuguesa.