Acordo de Subcontratação de Dados (DPA)

Documento: Acordo de Subcontratação de Tratamento de Dados Pessoais, nos termos do artigo 28.º do RGPD Versão: 1.0 Última actualização: 13 de Junho de 2026 Entrada em vigor: na data de aceitação pelo Utilizador

Este Acordo de Subcontratação ("DPA") é celebrado entre a Margomarg, Lda. (o "Subcontratante") e o Utilizador que aceita os Termos de Utilização do AlignerDesk (o "Responsável"). Regula o tratamento, pela Margomarg e por conta do Utilizador, dos dados pessoais de Pacientes inseridos na plataforma AlignerDesk. Integra a Política de Privacidade, os Termos de Utilização e o Aditamento sobre Partilha de Casos entre Profissionais, e prevalece sobre estes em caso de conflito quanto à matéria de tratamento de dados de Pacientes.

1. Partes

Responsável pelo tratamento: O Utilizador — profissional de saúde habilitado, titular de uma conta no AlignerDesk, identificado pelos dados de registo da sua conta.

Subcontratante:

Margomarg, Lda. NIPC: 514 489 197 Sede: R. Prof. Dr. F. Carvalho Rodrigues, 22-5D, 6300-315 Guarda, Portugal Contacto: privacidade@alignerdesk.com

2. Definições

Os termos "dados pessoais", "categorias especiais de dados", "tratamento", "responsável pelo tratamento", "subcontratante", "subcontratante ulterior", "titular dos dados" e "violação de dados pessoais" têm o significado que lhes é atribuído pelo Regulamento (UE) 2016/679 ("RGPD").

• Plataforma / Serviço: o software-as-a-service AlignerDesk.
• Dados de Pacientes: os dados pessoais de Pacientes inseridos pelo Responsável na Plataforma, descritos no Anexo A.
• Aditamento de Partilha: o documento "Aditamento — Partilha de Casos entre Profissionais", que regula a comunicação de dados entre dois Utilizadores.

3. Objecto e duração

3.1. Este DPA aplica-se ao tratamento de Dados de Pacientes que a Margomarg realiza exclusivamente em nome e por conta do Responsável, no âmbito da prestação do Serviço.

3.2. O objecto, a natureza e a finalidade do tratamento, as categorias de titulares e os tipos de dados pessoais constam do Anexo A.

3.3. Este DPA produz efeitos a partir da sua aceitação pelo Responsável e vigora enquanto durar o tratamento de Dados de Pacientes pela Margomarg por conta do Responsável, cessando nos termos da secção 12.

3.4. Relativamente aos dados do próprio Utilizador (conta, autenticação, registo de actividade), a Margomarg actua como responsável pelo tratamento, regendo-se esse tratamento pela Política de Privacidade (Parte I) e não por este DPA.

4. Papéis das partes

4.1. O Responsável determina as finalidades e os meios do tratamento dos Dados de Pacientes. É o responsável pelo tratamento perante os titulares e a autoridade de controlo, incluindo a obtenção de base legal adequada (art. 6.º e 9.º RGPD) para o tratamento dos dados dos seus Pacientes.

4.2. A Margomarg trata os Dados de Pacientes apenas por conta do Responsável e segundo as suas instruções documentadas, na qualidade de subcontratante.

4.3. Partilha de casos entre Utilizadores. Quando o Responsável partilha um caso com outro Utilizador através da Plataforma, ocorre uma comunicação entre dois responsáveis independentes, regulada pelo Aditamento de Partilha. Nessa comunicação, a Margomarg actua como subcontratante de ambos os Utilizadores, limitando-se a viabilizar tecnicamente a transmissão; a base legal da partilha é da responsabilidade do originador clínico, nos termos do Aditamento. O presente DPA rege a relação entre a Margomarg e este Responsável quanto aos dados que constam da sua conta.

5. Instruções do Responsável

5.1. A Margomarg trata os Dados de Pacientes apenas mediante instruções documentadas do Responsável, incluindo quanto a transferências internacionais, salvo obrigação legal a que a Margomarg esteja sujeita (caso em que informará o Responsável antes do tratamento, salvo proibição legal).

5.2. Constituem instruções documentadas do Responsável:

• a utilização das funcionalidades da Plataforma conforme a sua finalidade (registo de pacientes, fases, lotes, consultas, notas, partilha de casos, mensagens);
• a Política de Privacidade, os Termos de Utilização e o Aditamento de Partilha;
• quaisquer instruções adicionais que o Responsável transmita por escrito e que a Margomarg aceite.

5.3. A Margomarg informará o Responsável se, no seu entender, uma instrução violar o RGPD ou outra disposição de protecção de dados, sem obrigação de aconselhamento jurídico.

6. Obrigações da Margomarg

A Margomarg compromete-se a:

a) Tratar os Dados de Pacientes apenas segundo as instruções do Responsável (secção 5); b) Não utilizar os Dados de Pacientes para fins próprios, designadamente: análise comercial, criação de perfis ou treino de modelos de inteligência artificial; c) Não aceder a Dados de Pacientes individuais, salvo (i) para diagnóstico técnico de incidentes, com registo, ou (ii) por obrigação legal; d) Assegurar que as pessoas autorizadas a tratar os dados estão vinculadas a confidencialidade; e) Implementar as medidas técnicas e organizativas do Anexo B (art. 32.º RGPD); f) Respeitar as condições de subcontratação ulterior (secção 7); g) Auxiliar o Responsável, na medida do razoável e tendo em conta a natureza do tratamento, no cumprimento das suas obrigações de resposta a pedidos de titulares (secção 9) e de segurança, notificação de violações e avaliações de impacto (art. 32.º a 36.º RGPD); h) Eliminar ou devolver os dados no termo da prestação (secção 12); i) Disponibilizar ao Responsável a informação necessária para demonstrar o cumprimento do art. 28.º e permitir auditorias nos termos da secção 11.

7. Subcontratação ulterior (subcontratantes ulteriores)

7.1. O Responsável autoriza genericamente a Margomarg a recorrer aos subcontratantes ulteriores listados no Anexo C para a prestação do Serviço.

7.2. A Margomarg celebra com cada subcontratante ulterior um contrato que lhe impõe obrigações de protecção de dados não menos exigentes que as deste DPA, e mantém-se plenamente responsável perante o Responsável pelo cumprimento por parte dos seus subcontratantes ulteriores.

7.3. A Margomarg informará o Responsável de qualquer alteração pretendida quanto à introdução ou substituição de subcontratantes ulteriores, com antecedência razoável (por email ou através da Plataforma), conferindo ao Responsável a possibilidade de se opor por motivo fundado relacionado com protecção de dados. Em caso de oposição fundada não resolúvel, o Responsável pode encerrar a conta e cessar a utilização do Serviço.

8. Transferências internacionais

8.1. A base de dados, o alojamento da aplicação e os backups residem na União Europeia (cf. Anexo C).

8.2. Caso algum subcontratante ulterior trate dados fora do Espaço Económico Europeu, tal transferência apenas ocorrerá ao abrigo de um mecanismo válido do Capítulo V do RGPD (decisão de adequação, cláusulas contratuais-tipo ou outro), e a Margomarg disponibilizará ao Responsável, a pedido, informação sobre as garantias aplicáveis.

8.3. O Serviço de email transaccional não recebe Dados de Pacientes (não inclui nome do Paciente nem dados clínicos), conforme Anexo A e Aditamento de Partilha — tratando apenas o endereço de email do Utilizador destinatário e o conteúdo genérico da notificação.

9. Direitos dos titulares

9.1. Tendo em conta a natureza do tratamento, a Margomarg auxilia o Responsável, através de medidas técnicas e organizativas adequadas e na medida do possível, no cumprimento da sua obrigação de responder a pedidos de exercício de direitos dos titulares (art. 15.º a 22.º RGPD).

9.2. Caso a Margomarg receba directamente um pedido de um titular relativo a Dados de Pacientes, não responderá ao titular pelo seu próprio acto, encaminhando o pedido para o Responsável (ou responsáveis, em caso de caso partilhado) sem demora injustificada.

10. Violação de dados pessoais

10.1. A Margomarg notifica o Responsável sem demora injustificada após ter conhecimento de uma violação de dados pessoais que afecte Dados de Pacientes do Responsável.

10.2. A notificação incluirá, na medida do disponível: a natureza da violação, as categorias e o número aproximado de titulares e de registos afectados, as prováveis consequências e as medidas adoptadas ou propostas.

10.3. A obrigação de notificar a autoridade de controlo (art. 33.º) e os titulares (art. 34.º), quando aplicável, cabe ao Responsável, sem prejuízo das obrigações próprias da Margomarg enquanto também responsável pelos dados de Utilizador.

11. Auditoria e demonstração de conformidade

11.1. A Margomarg disponibiliza ao Responsável, a pedido razoável e não mais de uma vez por ano (salvo incidente ou exigência da autoridade), a informação necessária para demonstrar o cumprimento das obrigações do art. 28.º.

11.2. As auditorias far-se-ão preferencialmente por via documental. Inspecções no local, quando estritamente necessárias e legalmente exigidas, serão agendadas com antecedência razoável, em horário laboral, sem comprometer a segurança ou a confidencialidade de dados de outros Utilizadores, e a expensas do Responsável.

12. Cessação — devolução e eliminação

12.1. Cessando a prestação do Serviço ao Responsável (encerramento de conta ou termo do Serviço), a Margomarg, por opção do Responsável, devolve ou elimina os Dados de Pacientes, salvo obrigação legal de conservação.

12.2. A eliminação ocorre nos prazos da Política de Privacidade (em regra, eliminação ou anonimização no prazo de 30 dias após o encerramento). Os Dados de Pacientes podem subsistir em backups encriptados por um período adicional até 30 dias, findo o qual são purgados.

12.3. Enquanto a funcionalidade de exportação não estiver disponível na Plataforma, o Responsável pode solicitar, antes da eliminação, a devolução dos Dados de Pacientes em formato estruturado de uso corrente (ex.: CSV ou JSON).

13. Disposições finais

13.1. Em caso de conflito entre este DPA e os Termos de Utilização ou a Política de Privacidade quanto ao tratamento de Dados de Pacientes, prevalece este DPA.

13.2. Este DPA rege-se pela lei portuguesa; é competente o Tribunal Judicial da Comarca da Guarda, em coerência com os Termos de Utilização.

13.3. A invalidade de uma cláusula não afecta as demais.

13.4. A Margomarg pode actualizar este DPA por razões legais ou de evolução do Serviço, comunicando alterações materiais aos Utilizadores activos com pelo menos 30 dias de antecedência.

Anexo A — Descrição do tratamento

Objecto: tratamento de Dados de Pacientes para prestação do serviço de gestão administrativa de casos ortodônticos.

Natureza e finalidade: armazenamento, organização, exibição, cálculo de previsões administrativas (datas de entrega/troca), backup e, quando o Responsável o decida, transmissão a outro Utilizador (partilha de casos, cf. Aditamento de Partilha).

Duração: enquanto durar a relação de Serviço, sem prejuízo dos prazos de retenção e backup.

Categorias de titulares: Pacientes do Responsável (incluindo, eventualmente, menores, sob responsabilidade do Responsável).

Categorias de dados pessoais:

• Identificação: nome, código interno, data de nascimento (se introduzida).
• Dados de saúde (categoria especial, art. 9.º): fases de tratamento ortodôntico, configuração e número de alinhadores, lotes, datas de tratamento, alinhador actual, consultas, notas clínicas, ligações a planificações externas.
• Mensagens entre Utilizadores associadas a um caso partilhado.

Dados que a Plataforma NÃO trata: fotografias intraorais, scans 3D, exames imagiológicos, dados fiscais de Pacientes, contactos directos de Pacientes (telefone, morada, email).

Dados expressamente excluídos do email transaccional: nome do Paciente e quaisquer dados clínicos (a notificação de novo caso é genérica).

Anexo B — Medidas técnicas e organizativas (art. 32.º RGPD)

• Cifragem em trânsito: TLS 1.2+ em todas as comunicações.
• Cifragem em repouso: base de dados cifrada (gerida pelo subcontratante de base de dados).
• Autenticação: por código de uso único (OTP), sem armazenamento de palavras-passe; registo público de inscrições desactivado (contas provisionadas).
• Isolamento entre contas: Row-Level Security ao nível da base de dados, garantindo que cada conta acede apenas aos seus dados — com a única excepção da partilha deliberada de casos (Aditamento de Partilha).
• Minimização na partilha: o conteúdo clínico de um convite é apagado na aceitação/expiração/revogação/rejeição; não há cópia partilhada persistente; o email de notificação não contém dados clínicos.
• Registo de auditoria: operações sensíveis registadas com data/hora.
• Backups: backups encriptados, com retenção limitada e rotação automática; armazenados em infraestrutura na União Europeia.
• Controlo de acesso administrativo: princípio do privilégio mínimo; acesso a dados individuais apenas para diagnóstico de incidentes (com registo) ou obrigação legal.
• Resposta a incidentes: notificação ao Responsável sem demora injustificada (secção 10).

As medidas podem evoluir, mantendo-se um nível de segurança adequado ao risco.

Anexo C — Subcontratantes ulteriores autorizados

A lista em vigor é a que constar da Política de Privacidade (secção 9), que prevalece em caso de actualização.

Aceitação

A aceitação dos Termos de Utilização do AlignerDesk implica a aceitação deste DPA. Em alternativa, as partes podem celebrá-lo em documento assinado autonomamente, valendo nesse caso a versão assinada.

Margomarg, Lda. — R. Prof. Dr. F. Carvalho Rodrigues, 22-5D, 6300-315 Guarda — NIPC 514 489 197 — privacidade@alignerdesk.com