Acordo de Tratamento de Dados (DPA)

1. Partes e funções

O cliente é o responsável pelo tratamento e a Salvus é a subcontratante. A Salvus trata os dados pessoais apenas com base em instruções documentadas do cliente, salvo obrigação legal em contrário.

2. Objeto e duração

O tratamento tem por objeto a prestação da plataforma de Segurança e Saúde no Trabalho e dura enquanto vigorar a subscrição, incluindo o período de retenção e de devolução ou eliminação dos dados.

3. Natureza dos dados

São tratados dados de trabalhadores abrangidos pelos serviços do cliente, incluindo dados de identificação, função, formação e dados de saúde relativos à aptidão para o trabalho (categoria especial).

4. Obrigações da Salvus

A Salvus garante a confidencialidade, aplica medidas técnicas e organizativas adequadas, assiste o cliente no cumprimento dos seus deveres e disponibiliza informação para demonstrar a conformidade.

5. Subcontratantes ulteriores

A Salvus recorre a: (a) Supabase Inc. — base de dados principal na região UE, autenticação e armazenamento; (b) Vercel Inc. — alojamento, entrega da aplicação e métricas técnicas sem cookies; (c) Resend Inc. — e-mail transacional, incluindo comunicações operacionais de SST configuradas pelo cliente; (d) Google LLC — Google Calendar e Google Meet, quando a integração é ativada, recebendo apenas os dados necessários ao convite (tipo, horário, organização, nome e e-mail do participante); (e) Google Analytics e PostHog — analítica apenas após consentimento, quando configurada; e (f) o fornecedor de IA selecionado na configuração ativa — OpenRouter, Groq, Google Gemini, NVIDIA, Anthropic ou OpenAI — para tratar o contexto necessário à funcionalidade pedida. A Salvus aplica minimização e não envia deliberadamente registos clínicos individuais aos fornecedores de IA. O cliente é informado de alterações materiais e pode opor-se com fundamento legítimo.

6. Transferências internacionais

A base de dados principal é alojada na região UE do Supabase. Alguns serviços de suporte, calendário, analítica e IA podem tratar dados fora do Espaço Económico Europeu. Nesses casos, a Salvus utiliza o mecanismo de transferência aplicável, incluindo decisões de adequação e/ou Cláusulas Contratuais-Tipo nos termos do artigo 46.º do RGPD, e limita os dados à finalidade do serviço. A ativação do Google Calendar/Meet e de fornecedores de IA deve respeitar as instruções e a configuração acordadas com o cliente.

7. Violações de dados

A Salvus notifica o cliente sem demora injustificada após ter conhecimento de uma violação de dados pessoais, prestando a informação necessária ao cumprimento dos deveres de notificação do cliente.

8. Devolução e eliminação

Terminado o contrato, e à escolha do cliente, a Salvus devolve ou elimina os dados pessoais, salvo obrigação legal de conservação.

9. Auditoria

A Salvus disponibiliza a informação razoavelmente necessária para demonstrar o cumprimento deste acordo e permite auditorias nos termos acordados entre as partes.

10. Limitação de certificação médica

A Salvus é uma plataforma de gestão de SST e não um dispositivo médico nem prestador de cuidados de saúde. A plataforma armazena e organiza dados produzidos por profissionais habilitados (médicos do trabalho, técnicos de SST certificados) ao abrigo da Lei n.º 102/2009 e da Ordem dos Médicos. Os pareceres de aptidão, fichas clínicas e certificados de aptidão devem ser emitidos exclusivamente por profissionais qualificados. A plataforma não gera automaticamente diagnósticos médicos nem determina a aptidão para o trabalho. As funcionalidades de IA (pré-preenchimento de riscos, elaboração de relatórios, triagem de prazos) operam apenas sobre dados estruturais de SST e não constituem aconselhamento médico. Os clientes são os únicos responsáveis por garantir que os seus profissionais detentores das certificações exigidas pela lei portuguesa.