Esta política descreve como a Prevox recolhe, trata e protege os seus dados pessoais, incluindo os seus dados de saúde (artigo 9 do RGPD). Destina-se a ser lida em conjunto com os Termos de Serviço.
1. Quem é responsável pelos seus dados?
Prevox SAS (registo pendente), sede social a confirmar, França. Responsável pelo tratamento na aceacao do artigo 4 do RGPD. DPO contactável em dpo@prevox.health.
2. Que dados recolhemos?
- Identidade: apelido, primeiro nome, email, data de nascimento, sexo administrativo.
- Dados de saúde (art. 9 RGPD): antecedentes, alergias, tratamentos, vacinações, documentos médicos, pontuação Ophamir, sessões MindWatch.
- Dados ligados: wearables (frequência cardíaca, sono, HRV) se você ativar a sincronização Apple Health / Health Connect.
- Dados técnicos: endereço IP, tipo de dispositivo, registos de ligação (artigo 6.1.f, interesse legítimo de segurança).
- Dados de partilha: autorizações que você concedeu aos seus médicos (quem, o que, por quanto tempo), registo de auditoria imutável.
3. Em que base jurídica?
- Consentimento explícito (art. 9.2.a RGPD) para os dados de saúde.
- Execução do contrato de serviço (art. 6.1.b) para a prestação da Prevox.
- Interesse legítimo (art. 6.1.f) para a segurança e a prevenção de fraude.
- Obrigação legal (art. 6.1.c) de conservar os registos de acesso a dados de saúde durante 10 anos (decreto francês 2016-994).
4. Para que servem os seus dados?
- Oferecer-lhe um processo médico cifrado de ponta a ponta, acessível a partir dos seus dispositivos.
- Calcular a sua pontuação preventiva Ophamir sobre dados que você mantém.
- Permitir-lhe partilhar uma parte do seu processo com médicos, por um tempo limitado e com um âmbito preciso.
- Notificá-lo das suas consultas, lembretes de medicação e sinal do dia (notificações escolhidas por você).
- Investigação científica anonimizada, unicamente se você a tiver aceitado explicitamente, nunca por defeito.
5. Durante quanto tempo conservamos os seus dados?
- Dados ativos: enquanto a sua conta estiver ativa.
- Dados de saúde após eliminação da conta: 30 dias em período de recuperação e depois apagamento definitivo e criptográfico.
- Registos de acesso aos dados de saúde: 10 anos (decreto francês n.º 2016-994).
- Cópias de segurança cifradas: 90 dias no máximo.
6. Quem pode aceder aos seus dados?
A Prevox aplica um modelo zero-trust: nem as nossas equipas podem decifrar o seu processo. Os únicos acessos possíveis são:
- Você próprio, a partir dos seus dispositivos.
- Os médicos a quem VOCÊ concedeu uma autorização, dentro do âmbito e da duração que você definiu.
- Os 5 detentores Shamir do escrow da Prevox, e unicamente se você ativar a recuperação e pelo menos 3 reconstituírem a chave (procedimento documentado).
- Os nossos alojadores técnicos, Supabase (base de dados) e Vercel (site), que apenas veem texto cifrado. Não são certificados HDS. Os dados são alojados na região da pessoa: Dublin para a Europa, Canadá para o Canadá.
7. Segurança
- Cifragem AES-256-GCM para os seus dados em repouso.
- Derivação de chave Argon2id a partir da sua palavra-passe.
- Chaves RSA-OAEP-2048 por utilizador, chave privada nunca em claro no servidor.
- Envelope RSA-OAEP por autorização (Chantier K) para a partilha: revogar uma autorização destrói criptograficamente o acesso do médico.
- Shamir 3 de 5 para a recuperação, 5 detentores independentes.
- Cadeia hash SHA-256 sobre o registo de auditoria (cada acesso verificável).
- Alojamento na região da pessoa: Dublin para a Europa, Canadá para o Canadá. Cada novo país recebe a sua própria base, anunciada na sua abertura.
- Testes de penetração anuais (a planear assim que financiados).
8. Os seus direitos
- Acesso: descarregar a totalidade dos seus dados a qualquer momento.
- Retificação: corrigir um dado errado.
- Apagamento: eliminar a sua conta. Note que, para os seus dados cifrados, o apagamento e criptográfico (perda definitiva).
- Oposição: retirar uma autorização com 1 clique (o acesso do médico desaparece, inclusive criptograficamente).
- Portabilidade: exportar em formato padrão (FHIR no roadmap).
- Reclamação junto da CNIL: www.cnil.fr/fr/plaintes.
9. Menores
A Prevox é reservada a pessoas com 16 anos ou mais. Para os menores entre 16 e 18 anos, pode ser exigido o consentimento parental conforme os usos (partilha com médico, investigação).
10. Cookies
O site Prevox utiliza unicamente cookies estritamente necessários ao funcionamento (sessão). Sem trackers de terceiros, sem cookies de marketing.
11. Modificação da política
Qualquer modificação substancial ser-lhe-a notificada por email mais um banner na app, 30 dias antes da entrada em vigor.
12. Contacto
DPO: dpo@prevox.health. Suporte: support@prevox.health. Morada postal: a confirmar.