Política de privacidade

Esta política explica que dados são recolhidos pela aplicação móvel myBrux (Android e iOS), pelo painel do médico e pelo site mybrux.com, para que os recolhemos, a quem os transmitimos, durante quanto tempo os conservamos e quais são os seus direitos. Procurámos escrever de forma simples. Se algo não estiver claro, escreva-nos.

1. Quem é o responsável pelo tratamento dos dados

O responsável pelo tratamento dos seus dados pessoais é a WM Group Wojciech Czyż, ul. Brzozowa 12, 43-230 Goczałkowice-Zdrój, Polónia, NIF polaco (NIP): 6381848290, operadora da aplicação myBrux. Nesta política, «nós» designa a WM Group Wojciech Czyż.

A SpaceIT Jakub Moskwa é a programadora e editora da aplicação na App Store e no Google Play, e desenvolve-a e mantém-na por nossa conta.

Para assuntos relacionados com dados pessoais, escreva para [email protected].

2. O que é o myBrux

O myBrux é uma ferramenta educativa que ajuda a ganhar consciência da posição da mandíbula e dos hábitos relacionados com o bruxismo. Para isso, utiliza lembretes curtos ao longo do dia, um diário da dor, exercícios de relaxamento e estatísticas.

• O myBrux não é um dispositivo médico. Não diagnostica, não trata e não substitui a consulta com um médico ou médico dentista.
• A aplicação destina-se exclusivamente a maiores de idade (18+).
• Não mostramos anúncios e não vendemos dados. A aplicação não utiliza ferramentas de análise nem de rastreio e, no site mybrux.com, o Google Analytics só funciona com o seu consentimento.

3. Que dados recolhemos

3.1. Dados da conta

• o endereço de e-mail e o nome completo (ou o nome que indicar);
• a palavra-passe, se criar a conta com e-mail. Guardamo-la apenas sob a forma de um resumo criptográfico seguro (hash), nunca em texto simples;
• se iniciar sessão com o Google ou a Apple: o identificador da sua conta Google ou Apple e o e-mail e o nome que esse serviço nos transmitir. A Apple pode transmitir um endereço de reencaminhamento, se escolher a opção «Ocultar o meu e-mail». Não recebemos a sua palavra-passe do Google nem da Apple;
• o identificador de utilizador no myBrux, a data de criação da conta, a informação sobre a conclusão do questionário inicial e o tipo de sistema (Android ou iOS) registado na sessão iniciada.

3.2. Questionário inicial

Na primeira utilização, pedimos-lhe que preencha um breve questionário, para adaptarmos a aplicação e os lembretes a si. Recolhemos:

• faixa etária (a partir dos 18 anos), género (pode escolher «prefiro não dizer»), tipo de ocupação diária (se escolher «outro», pode descrevê-la por palavras suas);
• nível de stress, frequência com que sente tensão ou pressão, frequência da atividade física, regularidade do sono;
• a hora a que acorda e a hora a que adormece. Estas horas definem o período em que enviamos os lembretes;
• sintomas e historial: frequência da dor na mandíbula, nas têmporas ou no rosto, fadiga matinal dos músculos mastigatórios, ranger noturno dos dentes de que se tenha apercebido, apertamento dos dentes durante o dia, hábitos (morder a bochecha ou os lábios, língua entre os dentes), uso de goteira oclusal, aparelho ortodôntico ou prótese dentária, problemas na articulação temporomandibular (DTM).

3.3. Dados que regista ao utilizar a aplicação

• respostas aos lembretes: o que o seu sistema mastigatório está a fazer nesse momento (repouso, contacto dentário ligeiro, apertamento, ranger, contração sem contacto entre os dentes, hábitos da língua ou dos lábios, mastigação sem necessidade), com a hora da resposta e a ligação ao respetivo lembrete;
• diário da dor: data, locais da dor (p. ex. articulação temporomandibular, masséteres, têmporas, zona sob o queixo, pescoço, dor de cabeça) e lado, intensidade numa escala de 1 a 10 (0 significa um dia sem dor), tipo de dor, sintomas associados (rigidez matinal, fadiga dos masséteres, dor ao comer, abertura limitada da boca) e notas opcionais;
• exercícios de relaxamento: tipo de exercício, se foi concluído, duração e se foi iniciado a partir de um lembrete;
• estado do programa de lembretes: início, fim, número de dias;
• estatísticas e «pontuação da mandíbula», calculadas com base nos dados acima.

Os dados referidos nos pontos 3.2 e 3.3 podem revelar informações sobre a sua saúde. Trata-se de uma categoria especial de dados (artigo 9.º do RGPD), pelo que os tratamos com especial cuidado.

3.4. Definições e dados técnicos

• horário das notificações, fuso horário (definido automaticamente com base no telemóvel ou selecionado manualmente), idioma da aplicação;
• token de notificações push, ou seja, um identificador aleatório que nos permite enviar lembretes para o seu dispositivo;
• informação sobre a associação a um médico (a quem e desde quando), se utilizar esta funcionalidade;
• dados técnicos registados pelo servidor nas ligações com a aplicação (endereço IP, data e hora, tipo de pedido), para fins de segurança.

3.5. Correspondência

Se nos escrever, tratamos o seu endereço de e-mail e o conteúdo da mensagem.

3.6. Dados guardados apenas no seu telemóvel

• o token de início de sessão e os dados básicos do perfil (nome, e-mail, identificador), no armazenamento cifrado do sistema (iOS Keychain / Android Keystore). São eliminados quando termina sessão;
• o tema escolhido (claro ou escuro) e, durante um curto período, uma resposta a um lembrete que ainda não foi possível enviar (p. ex. sem ligação à Internet).

3.7. O que não recolhemos

Não recolhemos a localização GPS, contactos, fotografias, gravações nem identificadores de publicidade. A aplicação não utiliza ferramentas externas de publicidade nem de análise. Não vendemos dados nem os utilizamos para marketing.

3.8. Compras na aplicação

Se comprar o myBrux Plus, o pagamento é processado pela App Store ou pelo Google Play. Não vemos os dados do seu cartão. Recebemos informação sobre a compra e o respetivo estado, associada à sua conta.

3.9. Contas de médicos

Se utilizar o painel do médico, tratamos o nome completo, o endereço de e-mail, a especialidade, o número da cédula profissional (se o indicar), os dados da subscrição e os convites enviados aos pacientes, incluindo o endereço de e-mail ou o número de telefone do paciente que indicar.

3.10. O site mybrux.com

O site não tem formulários. A Cloudflare, que o disponibiliza, trata dados técnicos de ligação (incluindo o endereço IP) para fins de segurança.

Se der o seu consentimento, utilizamos o Google Analytics 4 para perceber como o site é utilizado: que páginas são visitadas, de onde vêm os visitantes e que dispositivos utilizam. A Google recebe então dados sobre o seu dispositivo e navegador, as páginas visitadas, a sua localização aproximada e identificadores guardados em cookies. O endereço IP serve para estimar a localização e não é guardado no Google Analytics. Não utilizamos estes dados para publicidade nem os associamos à sua conta na aplicação. Veja também como a Google utiliza os dados dos sites que usam os seus serviços.

Enquanto não der o seu consentimento, o site não se liga ao Google Analytics nem guarda os respetivos cookies. Pode alterar a sua decisão a qualquer momento com o botão «Definições de cookies» no rodapé do site. A retirada do consentimento remove os cookies do Google Analytics do seu navegador e não afeta a licitude do tratamento anterior.

Cookies utilizados no site:

• mybrux_consent: guarda a sua decisão durante 6 meses. É estritamente necessário, pelo que não requer consentimento;
• _ga e _ga_*: cookies do Google Analytics que distinguem visitantes e sessões, até 2 anos. Apenas com o seu consentimento.

4. De onde obtemos os seus dados

A maior parte dos dados é fornecida por si na aplicação. Ao iniciar sessão com o Google ou a Apple, recebemos dessas empresas o identificador da conta, o e-mail e o nome. A aplicação lê o fuso horário, o idioma e o token de notificações a partir do seu dispositivo.

5. Finalidades e fundamentos jurídicos

Tratamos os dados em conformidade com o RGPD (Regulamento (UE) 2016/679):

Conta e funcionamento da aplicação

O que fazemos: criamos e gerimos a conta, iniciamos a sua sessão, guardamos os registos, calculamos as estatísticas, enviamos lembretes.

Dados: dados da conta, definições, token de notificações.

Fundamento: artigo 6.º, n.º 1, alínea b), do RGPD, ou seja, a execução do contrato de utilização da aplicação.

Dados de saúde

O que fazemos: guardamos e analisamos o questionário, as respostas aos lembretes, o diário da dor, os exercícios e as estatísticas, para que a aplicação possa funcionar.

Fundamento: artigo 9.º, n.º 2, alínea a), em conjugação com o artigo 6.º, n.º 1, alínea a), do RGPD, ou seja, o seu consentimento explícito, que presta na aplicação antes de preencher o questionário inicial. Pode retirá-lo em qualquer momento (ver ponto 9).

Partilha de dados com o médico

O que fazemos: damos acesso aos seus dados ao médico ou médico dentista que utiliza o myBrux.

Fundamento: artigo 9.º, n.º 2, alínea a), do RGPD, ou seja, o seu consentimento explícito, que presta ao introduzir o código de convite do médico ou ao pedir-nos que associemos a sua conta ao médico. Pode retirá-lo removendo a associação ao médico.

Contas de médicos e faturação

O que fazemos: gerimos a conta do médico, tratamos da subscrição e emitimos documentos contabilísticos.

Fundamento: artigo 6.º, n.º 1, alínea b), do RGPD (execução de um contrato) e artigo 6.º, n.º 1, alínea c), do RGPD (obrigações contabilísticas e fiscais).

Segurança

O que fazemos: protegemos o serviço contra abusos e diagnosticamos erros (registos do servidor e relatórios de erros).

Fundamento: artigo 6.º, n.º 1, alínea f), do RGPD, ou seja, o nosso interesse legítimo na segurança do serviço.

Estatísticas do site

O que fazemos: com o seu consentimento, medimos como o site mybrux.com é utilizado para o melhorar (Google Analytics 4).

Fundamento: artigo 6.º, n.º 1, alínea a), do RGPD, ou seja, o seu consentimento. Guardar e ler cookies no seu dispositivo também requer consentimento (artigo 5.º, n.º 3, da Diretiva Privacidade Eletrónica). Pode retirá-lo com o botão «Definições de cookies» no rodapé do site.

Contacto e exercício dos seus direitos

O que fazemos: respondemos a mensagens e tratamos pedidos, p. ex. de acesso aos dados ou de apagamento dos mesmos.

Fundamento: artigo 6.º, n.º 1, alínea c), do RGPD (obrigação legal decorrente do RGPD) e artigo 6.º, n.º 1, alínea f), do RGPD (interesse legítimo no contacto com os utilizadores).

O fornecimento dos dados é voluntário, mas sem os dados da conta e os dados registados na aplicação não podemos prestar o serviço.

6. A quem transmitimos os dados

Transmitimos dados apenas às entidades sem as quais a aplicação não poderia funcionar, e apenas na medida do necessário:

• SpaceIT Jakub Moskwa, programadora e editora da aplicação, que desenvolve e mantém a aplicação, o painel e os servidores. Trata os dados exclusivamente por nossa conta;
• fornecedor de servidores (alojamento) onde funcionam a nossa API e a base de dados: Hetzner Online GmbH (Alemanha). Trata os dados exclusivamente por nossa conta;
• Cloudflare (Cloudflare, Inc., EUA), pela qual passa o tráfego para a aplicação, o painel e o site, e que envia as nossas mensagens de e-mail;
• Backblaze (Backblaze, Inc., EUA), onde guardamos as cópias de segurança da base de dados;
• Sentry (Functional Software, Inc., EUA), que recolhe relatórios de erros do servidor. Um relatório pode conter o identificador do utilizador, o endereço IP e detalhes do pedido;
• RevenueCat (RevenueCat, Inc., EUA), que gere o estado das compras do myBrux Plus;
• Stripe (Stripe Payments Europe Ltd., Irlanda), que processa os pagamentos das subscrições dos médicos;
• SMSAPI (LINK Mobility Poland sp. z o.o.), que envia SMS com o convite, se o médico escolher esta opção. Recebe o número de telefone e o código de convite;
• Expo (650 Industries, Inc., EUA), ou seja, o serviço Expo Push Notifications, através do qual enviamos os lembretes. Recebe o token de notificações e o conteúdo da notificação. O conteúdo dos lembretes é genérico (p. ex. um pedido para verificar a posição da mandíbula);
• Google: o Firebase Cloud Messaging entrega as notificações em telemóveis Android; início de sessão com o Google, se o escolher;
• Apple: o Apple Push Notification service entrega as notificações em iPhones; início de sessão com a Apple, se o escolher;
• o seu médico ou médico dentista que utilize o myBrux, apenas se introduzir o respetivo código de convite ou nos pedir essa associação (Definições → Partilha de dados). O médico passa a ter acesso aos dados que regista na aplicação. Pode revogar o acesso em qualquer momento: Definições → Partilha de dados → Remover associação ao médico. Se o médico transferir os dados para os seus próprios registos clínicos, responde por eles como responsável pelo tratamento independente;
• fornecedor de correio eletrónico que utilizamos, no âmbito da correspondência consigo;
• autoridades públicas, apenas quando a lei o exigir.

Ao iniciar sessão com o Google ou a Apple, estas empresas atuam como responsáveis pelo tratamento independentes dos dados da sua conta Google ou Apple. Nesse caso, aplicam-se também as respetivas políticas de privacidade.

Se aceitar as estatísticas do site, os dados sobre a sua utilização chegam também à Google Ireland Limited (Irlanda), fornecedora do Google Analytics, que os trata por nossa conta.

7. Transferências de dados para fora do EEE

A nossa API e a base de dados funcionam em servidores localizados na Finlândia.

A Expo, a Google, a Apple, a Cloudflare, a Backblaze, a Sentry, a RevenueCat e a Stripe podem tratar parte dos dados (principalmente o token de notificações, o conteúdo da notificação, dados de início de sessão, dados técnicos e dados de compras) nos EUA ou noutros países fora do Espaço Económico Europeu. Estas transferências assentam nos mecanismos previstos no RGPD: uma decisão de adequação da Comissão Europeia (EU-US Data Privacy Framework, no caso das empresas que aderiram a esse quadro) ou cláusulas contratuais-tipo aprovadas pela Comissão. Mediante pedido, facultamos-lhe informações sobre as garantias aplicadas. O mesmo se aplica aos dados do Google Analytics, se aceitar as estatísticas do site.

8. Durante quanto tempo conservamos os dados

• Dados da conta e todos os dados registados na aplicação: enquanto tiver conta. Após a eliminação da conta, apagamo-los da base de dados de imediato, e desaparecem das cópias de segurança no prazo de 30 dias.
• Associação ao médico: até a remover ou até eliminar a conta.
• Token de notificações: até à eliminação da conta ou até ser substituído por um novo token.
• Registos do servidor: até 14 dias.
• Correspondência: durante o tempo necessário para tratar do assunto e, depois, no máximo 12 meses (p. ex. para demonstrar que satisfizemos o seu pedido).
• Dados de faturação dos médicos: durante o período exigido pela legislação fiscal, normalmente 5 anos a contar do fim do ano fiscal.
• Dados no telemóvel: token de início de sessão e dados do perfil até terminar sessão; as restantes definições até desinstalar a aplicação.
• Estatísticas do site (Google Analytics): até 14 meses, se as aceitar.

9. Os seus direitos

Tem os seguintes direitos:

• acesso aos seus dados e obtenção de uma cópia dos mesmos;
• retificação (correção) dos dados;
• apagamento dos dados;
• limitação do tratamento;
• portabilidade dos dados, ou seja, recebê-los num formato estruturado e de uso corrente;
• oposição ao tratamento baseado no nosso interesse legítimo;
• retirada do consentimento em qualquer momento. Isto não afeta a licitude do tratamento efetuado antes da retirada. Sem os dados de saúde a aplicação não pode funcionar, pelo que, na prática, retirar o consentimento significa eliminar a conta e os dados;
• apresentação de reclamação à autoridade de controlo polaca, o Presidente do Gabinete de Proteção de Dados Pessoais (Prezes Urzędu Ochrony Danych Osobowych, ul. Stawki 2, 00-193 Warszawa, Polónia, uodo.gov.pl), ou à autoridade de controlo do país da UE onde reside ou trabalha.

Como exercer os seus direitos

• Na aplicação: Definições → Dados do questionário inicial (rever e voltar a preencher o questionário), Definições → Horário das notificações, Definições → Partilha de dados (revogar o acesso do médico), Definições → Informações da conta → Eliminar conta.
• Por e-mail: [email protected], de preferência a partir do endereço associado à conta. Respondemos sem demora injustificada e, o mais tardar, no prazo de um mês. Em casos excecionais, este prazo pode ser prorrogado por mais dois meses; nesse caso, comunicamos-lhe esse facto. Podemos pedir-lhe que confirme a sua identidade.

Instruções detalhadas para eliminar a conta: mybrux.com/delete-account.

10. Segurança

• a comunicação entre a aplicação e o servidor é cifrada (HTTPS);
• o token de início de sessão é guardado no armazenamento cifrado do telemóvel (iOS Keychain / Android Keystore);
• guardamos as palavras-passe apenas como resumo criptográfico (hash);
• só têm acesso aos dados as pessoas que dele necessitam, e o médico apenas depois de o código de convite ser introduzido por si ou de associarmos as contas a seu pedido.

Nenhum sistema é 100% seguro. Se ocorrer uma violação que possa pôr em risco os seus direitos, daremos conhecimento a si e ao Presidente do UODO (a autoridade de controlo polaca), nos termos do RGPD.

11. Decisões automatizadas

A aplicação calcula automaticamente as estatísticas e a «pontuação da mandíbula» apenas para sua informação (e do seu médico, se partilhar os dados com ele). Não tomamos decisões a seu respeito baseadas exclusivamente no tratamento automatizado que produzam efeitos na sua esfera jurídica ou que o afetem significativamente de forma similar. Não definimos o seu perfil para fins de marketing.

12. Menores

O myBrux destina-se exclusivamente a pessoas com 18 anos ou mais. Não recolhemos conscientemente dados de menores. Se tivermos conhecimento de que uma pessoa com menos de 18 anos criou uma conta, eliminamo-la juntamente com os dados.

13. Alterações à política

Podemos atualizar esta política, p. ex. quando as funcionalidades da aplicação ou a legislação mudarem. A versão em vigor está sempre disponível em mybrux.com/privacy-policy, e a data da última alteração é indicada no topo da página. Comunicamos-lhe as alterações significativas na aplicação ou por e-mail.

14. Contacto

WM Group Wojciech Czyż
ul. Brzozowa 12, 43-230 Goczałkowice-Zdrój, Polónia
NIF polaco (NIP): 6381848290
E-mail: [email protected]