1) Quem é o responsável?

O responsável principal pelo tratamento é a SMILE2IMPRESS S.L., juntamente com as entidades do Grupo Impress (doravante, Grupo Impress) que intervêm na prestação do serviço em cada país, que poderão atuar como corresponsáveis pelo tratamento, quando aplicável, em conformidade com o artigo 26.º do RGPD com o qual você contrata ou se relaciona (por exemplo, como paciente/utilizador, profissional de saúde, parceiro, fornecedor, candidato ou visitante do site).

Contacto para questões de privacidade: gdpr@smile2impress.com
Delegado de Proteção de Dados (DPO): dpo@smile2impress.com

As entidades do Grupo constam do ANEXO II.

2) Que dados tratamos?

A. Dados clínicos (dados de saúde – categoria especial):
radiografias, tomografias 3D, fotografias clínicas, diagnóstico, plano de tratamento, evolução e comunicações clínicas.

B. Dados comerciais e de conta:
identificação e contacto, consultas, preferências, incidentes, comunicações de apoio.

C. Dados económicos:
faturação, pagamentos, financiamento (as instituições financeiras costumam atuar como responsáveis independentes).

D. Dados técnicos:
IP, registos, dispositivo, navegação e cookies (conforme a escolha).

3) Para que utilizamos os seus dados?

• Prestar cuidados dentários e acompanhamento.
• Planear e fabricar dispositivos (alinhadores e elementos associados) com laboratórios e fornecedores técnicos.
• Gerir consultas, assistência e qualidade do serviço.
• Faturação e cobranças, incluindo financiamento, se solicitado.
• Segurança e prevenção de fraudes.
• Conformidade legal (sanitária, fiscal, etc.).
• Marketing (apenas de acordo com as regras claras abaixo).

4) Marketing

• Clientes/pacientes: podemos enviar informações sobre serviços semelhantes (soft opt-in de acordo com a regulamentação aplicável às comunicações comerciais). Sempre com fácil cancelamento.
• Não clientes: apenas com consentimento expresso.
• Publicidade personalizada: apenas se aceitar cookies publicitários ou ativar «anúncios personalizados» na aplicação/configurações.

5) Usamos Inteligência Artificial (IA)?

Podemos usar IA como apoio (por exemplo, para organizar suporte ou ajudar a planear/visualizar tratamentos).
Nunca substitui a decisão clínica: há intervenção humana e validação por profissionais de saúde.

6) Com quem partilhamos dados?

Apenas quando necessário:

• Clínicas parceiras / profissionais de saúde
• Laboratórios e fornecedores técnicos de fabrico
• Fornecedores tecnológicos (hospedagem, CRM, comunicações)
• Gateways de pagamento
• Entidades financeiras (se solicitar financiamento)
• Autoridades, quando legalmente aplicável

Nunca vendemos dados pessoais.

7) Transferências internacionais

Se algum fornecedor estiver fora do EEE, utilizamos garantias legais (por exemplo, Cláusulas Contratuais Típicas ou decisões de adequação) e, quando necessário, medidas técnicas e organizacionais complementares para garantir um nível de proteção equivalente ao europeu.

8) Os seus direitos

Acesso, retificação, supressão, oposição, limitação, portabilidade, retirada do consentimento e oposição ao marketing/perfilagem.
Exercício: gdpr@smile2impress.com
Pode apresentar uma reclamação à autoridade de controlo do país onde reside habitualmente (em Espanha, AEPD).

POLÍTICA COMPLETA (DESENVOLVIMENTO JURÍDICO)

1. ÂMBITO E COMPROMISSO

Esta Política explica como tratamos os dados pessoais de:

• Utilizadores/Pacientes
• Profissionais de saúde
• Parceiros (clínicas colaboradoras), fornecedores e consultores
• Investidores
• Candidatos
• Potenciais clientes
• Visitantes do site

Comprometemo-nos a tratar os dados com legalidade, lealdade, transparência, minimização e segurança, em conformidade com o RGPD e a regulamentação local aplicável.

2. RESPONSÁVEL PELO TRATAMENTO, CONTACTO E DPO

2.1 Responsável

O responsável é a entidade do Grupo Impress com a qual mantém uma relação. Como referência corporativa em Espanha:

SMILE2IMPRESS S.L.
NIF: B67402032
Endereço: Av. Roma 81, 2º Núcleo E-F, 08029 Barcelona (Espanha)
E-mail: gdpr@smile2impress.com

2.2 Delegado de Proteção de Dados (DPO)

E-mail: dpo@smile2impress.com

2.3 Entidades do Grupo

Ver ANEXO II.

3. CATEGORIAS DE DADOS QUE TRATAMOS (CLÍNICOS VS COMERCIAIS)

3.1 Dados clínicos (dados de saúde – art. 9 RGPD)

• Radiografias, tomografias 3D, fotos clínicas
• Diagnósticos e notas clínicas
• Planeamento do tratamento, evolução e controlos
• Informações fornecidas em consulta ou no portal do paciente
• Comunicações clínicas (quando aplicável)

3.2 Dados comerciais e da conta

• Registo, identidade, contacto
• Consultas e gestão da agenda
• Preferências de serviço, incidentes e reclamações
• Comunicações com suporte (e-mail, chat, telefone)

3.3 Dados económicos

• Faturação e cobranças
• Dados necessários para pagamentos
• Financiamento (se solicitado)

3.4 Dados técnicos

• IP, registos de segurança
• Dispositivo, navegador, cookies (conforme a escolha)

3.5 Dados provenientes de terceiros

Podemos receber dados se você autorizar (por exemplo, login social) ou se interagir connosco através de redes sociais/mensagens.

4. ORIGEM DOS DADOS

Os dados podem provir de:

• Você (formulários, app, clínica, chamadas, chats)
• Sua atividade no aplicativo/portal do paciente
• Fornecedores necessários para prestar o serviço (por exemplo, gateway de pagamento)
• Terceiros autorizados por si (por exemplo, login social)

5. FINALIDADES E BASES LEGAIS (MATRIZ ÚNICA)

Nota importante: Os dados de saúde são tratados, em geral, para assistência médica (art. 9.2.h RGPD) e/ou cumprimento de obrigações sanitárias, e com acesso restrito a pessoal autorizado.

5.1 Utilizadores/Pacientes. Finalidades principais:

a) Prestação de serviços odontológicos (diagnóstico, planeamento, acompanhamento)

• Base legal: execução do contrato + art. 9.2.h RGPD + obrigações sanitárias.

b) Fabricação e logística do dispositivo (alinhadores e elementos associados)

• Base jurídica: execução do contrato + art. 9.2.h RGPD (na medida do necessário) + obrigações do produto/dispositivo.
• Esclarecimento de funções (importante e «competidor-grade»):
• Responsável pelo historial clínico: a entidade sanitária do Grupo que presta o tratamento e/ou a clínica que o realiza (conforme o caso).
• Fabricante/laboratório: trata os dados estritamente necessários para a fabricação e controlo do produto. Dependendo do fluxo, pode atuar como encarregado ou como responsável independente pela sua própria atividade regulamentada; em qualquer caso, existe um contrato e garantias de confidencialidade e segurança.

c) Gestão administrativa (consultas, atendimento ao cliente, incidentes, qualidade)

• Base legal: execução do contrato + interesse legítimo (qualidade e melhoria), quando aplicável.

d) Faturação, cobranças e contabilidade

• Base legal: execução do contrato + obrigação legal.

e) Financiamento (se solicitado por si)

• Base jurídica: execução do contrato / medidas pré-contratuais a pedido do interessado.
• As instituições financeiras/corretoras costumam atuar como responsáveis independentes pela análise de solvência e formalização.

f) Segurança e prevenção de fraudes

• Base jurídica: interesse legítimo (segurança e proteção da plataforma, prevenção de fraudes, segurança das contas).

g) Investigação, estatísticas e melhoria (de preferência com dados anonimizados ou agregados)

• Base jurídica: interesse legítimo e/ou obrigação legal/padrões clínicos, conforme o caso.
• Sempre que possível, utilizaremos anonimização ou pseudonimização.

5.2 Marketing (regras «limpas»)

a) Soft opt-in (apenas clientes/pacientes):
Podemos enviar comunicações sobre serviços semelhantes aos contratados.

• Base legal: interesse legítimo/normativa aplicável de comunicações comerciais - LSSI em Espanha.
• Direito de oposição: cancelamento em cada comunicação e/ou por e-mail.

b) Não clientes (leads):
Apenas marketing com consentimento expresso.

c) Publicidade personalizada / audiências:
Apenas se:

• aceitar cookies publicitários, ou
• ativar a opção correspondente nas definições («anúncios personalizados»), ou
• conceder consentimento expresso equivalente.

d) Parceiros (cessão a terceiros para marketing):
Apenas com consentimento expresso, informado e inequívoco, identificando o destinatário/categorias.

6. DESTINATÁRIOS (QUEM RECEBE OS DADOS E PORQUÊ)

Podemos partilhar dados apenas quando necessário, com as seguintes categorias:

1. Clínicas parceiras e profissionais de saúde
   Para diagnóstico, obtenção de imagens, revisões, apoio clínico e execução do tratamento.
2. Laboratórios dentários e fornecedores técnicos
   Para digitalização, conceção e fabrico de alinhadores ou outros dispositivos médicos e logística associada.
3. Fornecedores de tecnologia
   Hospedagem, armazenamento seguro, CRM, comunicações, segurança (por exemplo, reCAPTCHA), análise (de acordo com cookies).
4. Plataformas de pagamento
   Para processar cobranças (não armazenamos dados completos do cartão; tokenização quando aplicável).
5. Entidades financeiras/corretores (se solicitar financiamento)
   Para avaliação, formalização e gestão do pagamento a prestações (normalmente como responsáveis independentes).
6. Seguradoras
   Quando necessário para a gestão de incidentes ou sinistros associados.
7. Autoridades públicas
   Quando necessário para o cumprimento legal (sanitário, fiscal, judicial).

Nunca vendemos dados pessoais.

7. TRANSFERÊNCIAS INTERNACIONAIS

Se transferirmos dados para fora do EEE (por exemplo, determinados serviços de assistência/call center, telecomunicações ou fornecedores tecnológicos), fá-lo-emos aplicando:

• Cláusulas Contratuais Típicas da Comissão Europeia e medidas complementares, e/ou
• decisões de adequação, quando existirem.

Pode solicitar informações adicionais sobre as garantias aplicadas escrevendo para gdpr@smile2impress.com.

8. DECISÕES AUTOMATIZADAS E PERFILAGEM

8.1 Decisões automatizadas (art. 22 RGPD)

Não tomamos decisões que produzam efeitos jurídicos ou que o afetem significativamente com base apenas no tratamento automatizado no âmbito clínico.

8.2 Perfilagem/segmentação

Podemos realizar segmentação não clínica para:

• personalizar a experiência,
• mostrar conteúdo relevante,
• melhorar o serviço,
• limitar fraudes,
• ou personalizar o marketing (apenas quando aplicável).

Pode opor-se à criação de perfis com efeitos relevantes e, em qualquer caso, opor-se sempre ao marketing direto.

9. INTELIGÊNCIA ARTIFICIAL (IA) — ABORDAGEM MODERNA E TRANSPARENTE

Podemos utilizar IA em processos como:

• Atendimento ao cliente (por exemplo, chatbots assistidos por modelos linguísticos) para resolver dúvidas administrativas ou de suporte.
• Suporte ao planeamento e visualização do tratamento através da análise de imagens/fotografias clínicas (quando aplicável).

Princípios de segurança e controlo na IA

• Intervenção humana: todas as decisões clínicas relevantes são validadas por profissionais de saúde.
• Minimização: usamos o mínimo de dados necessários para a finalidade.
• Não treinamos modelos públicos com os seus dados: exigimos contratualmente que os fornecedores não utilizem os dados para treinar modelos públicos.
• Proteção de dados identificativos: aplicamos medidas para evitar a exposição desnecessária e reforçar a confidencialidade.

10. MEDIDAS DE SEGURANÇA

Aplicamos medidas técnicas e organizacionais adequadas ao risco, incluindo:

• controlo de acessos por funções e necessidade de conhecer,
• encriptação em trânsito e, quando aplicável, em repouso,
• registos e monitorização de segurança,
• avaliação de fornecedores e contratos RGPD,
• tokenização de pagamentos e normas PCI DSS em fornecedores de pagamentos,
• medidas para prevenir acessos não autorizados, alteração ou perda.

11. CONSERVAÇÃO DE DADOS

Conservamos os dados durante:

• o tempo necessário para a finalidade,
• a relação contratual e,
• posteriormente, os prazos legais de conservação e prescrição de ações.

Os prazos indicativos e referências legais encontram-se no ANEXO I.
Quando aplicável, podemos conservar determinadas informações até 15 anos, se necessário para a defesa contra reclamações complexas ou prescrição penal/fiscal, sempre com minimização e acesso restrito.

12. DIREITOS DAS PESSOAS

Pode exercer:

• Acesso
• Rectificação
• Supressão
• Oposição
• Limitação
• Portabilidade
• Retirada do consentimento (quando aplicável)
• Oposição ao marketing direto e à definição de perfis

Como exercê-los: gdpr@smile2impress.com
Também pode contactar o DPO: dpo@smile2impress.com

Se considerar que não atendemos corretamente ao seu pedido, pode reclamar junto à autoridade de controlo do país onde reside habitualmente (em Espanha, AEPD).

13. MENORES

Os serviços são destinados a maiores de idade, a menos que a regulamentação aplicável permita o tratamento com autorização/representação legal e seja verificado.

14. REDES SOCIAIS E CANAIS DE MENSAGENS

Se nos contactar através das redes sociais (por exemplo, Instagram, Facebook) ou mensagens (por exemplo, WhatsApp), trataremos os dados necessários para:

• responder a consultas,
• dar apoio ao paciente/cliente,
• gestão de incidentes.

O tratamento também pode estar sujeito à política de privacidade de cada plataforma.

15. VIGILÂNCIA POR CÂMARAS E CONTROLO DE ACESSOS (se aplicável em centros)

Em centros e clínicas, pode existir videovigilância com base no interesse legítimo na segurança de pessoas e instalações, de acordo com a regulamentação aplicável e sinalização informativa.

16. CANAL ÉTICO

O Canal Ético permite comunicar condutas ou incumprimentos normativos/éticos.
Os dados tratados serão utilizados para:

• tratar comunicações,
• investigar factos,
• propor resoluções,
• e, se for o caso, comunicar às autoridades ou adotar medidas internas.

São adotadas medidas para proteger a confidencialidade da identidade do informante e das pessoas afetadas, com acesso restrito.

Contacto: compliance@smile2impress.com (ou o indicado no canal habilitado)

17. INICIATIVAS SOCIAIS / FUNCIONALIDADES DA APLICAÇÃO (se aplicável)

Se a aplicação permitir funções sociais (por exemplo, «adicionar contactos»):

• só será possível aceder à sua agenda se o autorizar explicitamente,
• será mostrado quais contactos já são utilizadores,
• e você controla quem adiciona e o que partilha (agregado ou identificador).

18. ALTERAÇÕES A ESTA POLÍTICA

Podemos atualizar esta Política quando necessário.
Se houver alterações substanciais, iremos notificá-lo de forma adequada.

19. IDIOMA E PREVALÊNCIA

Em caso de discrepância entre traduções, prevalecerá a versão em espanhol.

ANEXO I — PRAZOS GERAIS DE CONSERVAÇÃO (ORIENTATIVOS)

Os prazos podem variar consoante o país, o tipo de relação (paciente, profissional, fornecedor, etc.) e a finalidade específica. Conservaremos os dados apenas durante o tempo necessário e aplicaremos o bloqueio/limitação quando for caso disso.

ANEXO II — EMPRESAS DO GRUPO IMPRESS

ANEXO III — DEFINIÇÕES (BREVE)

• Responsável pelo tratamento: decide os fins e os meios do tratamento.
• Subcontratante: trata os dados por conta do responsável pelo tratamento e sob as suas instruções.
• RGPD: Regulamento (UE) 2016/679.
• Dados de saúde: dados relativos à saúde física ou mental, incluindo dados clínicos odontológicos e imagens.
• Perfilagem: tratamento automatizado para avaliar aspetos pessoais (por exemplo, preferências).
• Decisão automatizada: decisão baseada exclusivamente no tratamento automatizado com efeitos jurídicos ou similares.