Subcontratante: o que assinar com o seu fornecedor

Principais conclusões

• Se um fornecedor acede a dados de pacientes ou os aloja, precisa de um contrato de subcontratação por escrito antes de começar a utilizar o serviço.
• O contrato deve deixar claro onde ficam alojados os dados, que subcontratantes ulteriores intervêm e que instruções o fornecedor pode executar sem pedir autorização.
• As medidas de segurança não se resolvem com uma frase genérica: peça compromissos verificáveis e um canal claro para notificar incidentes.
• A saída do fornecedor (devolução, apagamento e prazos) é onde as clínicas mais encalham; deixe-a assinada e operacional desde o primeiro dia.

Gerir uma clínica implica delegar tarefas em terceiros: software, nuvem, gabinete de contabilidade, manutenção ou mensagens. Assim que um fornecedor toca em dados de pacientes, deixa de ser «mais um serviço»: é um subcontratante e é preciso assinar.

Subcontratante: quando se aplica numa clínica

Numa clínica, o «subcontratante» é o fornecedor que trata dados pessoais por conta da clínica e segundo as suas instruções. Esta figura e o respetivo contrato estão regulados pelo RGPD (artigo 28.º), e o contrato tem de ser formalizado por escrito.

Exemplos típicos do dia a dia

Pense em situações reais de receção e gestão:

• Software de processo clínico / agenda que aloja fichas, marcações, lembretes e faturação: o fornecedor costuma ser subcontratante (e por vezes também há subcontratantes ulteriores).
• Serviço de cópias de segurança na nuvem para onde se envia uma exportação da base de dados: subcontratante.
• Centro de chamadas que confirma marcações e vê nome, telefone e vagas: subcontratante.
• Empresa de manutenção informática que entra por acesso remoto no servidor ou nos equipamentos onde está o programa: subcontratante, se puder ver dados.
• Plataforma de e-mail/SMS que envia lembretes com dados identificativos: normalmente subcontratante (embora convenha analisar o caso concreto).

Em contrapartida, uma empresa que lhe vende hardware selado (sem acesso aos seus sistemas) não tem de ser subcontratante. A pergunta prática é: pode aceder a dados pessoais ou aloja-os? Se a resposta for sim, precisa de contrato.

Ação aplicável (hoje)

Faça uma lista rápida de fornecedores com três colunas: «Acede», «Aloja», «Poderia aceder através do suporte». Tudo o que tiver alguma coluna assinalada deve ser revisto para efeitos de contrato de subcontratação.

O que deve incluir o contrato de subcontratação

O RGPD exige um conteúdo mínimo. Numa clínica, convém aplicá-lo a operações concretas: agenda, ficha, cobranças, comunicação com pacientes e suporte técnico.

1) Objeto, duração e tipo de dados tratados

Não aceite um contrato que diga apenas «prestação de serviços». Deve indicar:

• Que serviço é prestado (por exemplo, «alojamento e suporte do sistema de gestão de pacientes»).
• Durante quanto tempo (vigência e o que acontece no fim).
• Que dados são tratados: identificativos, de contacto, dados de saúde (categorias especiais), dados de faturação, etc.
• Que categorias de titulares dos dados: pacientes, representantes legais, pessoal, fornecedores, se for o caso.

Ação aplicável (esta semana): peça ao fornecedor que lhe entregue um anexo com «tipos de dados» e «operações» (criação de ficha, marcação, lembrete, faturação, exportação, suporte). Se não o tiver, que o redija.

2) Instruções documentadas: o que o fornecedor pode fazer

O contrato deve dizer que o fornecedor só trata dados de acordo com as suas instruções. Na prática, o que mais problemas causa é não se definir o que conta como «instrução».

Garanta que fica claro:

• Que operações fará sem pedir autorização de cada vez (por exemplo, manutenção, cópias, suporte).
• Que operações exigem autorização prévia (por exemplo, acesso a dados reais para diagnosticar um erro).
• Como se documentam as instruções: ticket, e-mail, portal de suporte.

Ação aplicável: estabeleça uma regra interna, «suporte com dados reais só com ticket e autorização do responsável da clínica», e garanta que o contrato o permite e o reflete.

3) Confidencialidade: quem pode ver dados e com que controlo

Não basta «o fornecedor guardará sigilo». Peça concretização:

• Pessoal do fornecedor sujeito a dever de confidencialidade.
• Controlo de acessos por perfis (não toda a equipa de suporte com acesso total).
• Registo de acessos ou, pelo menos, rastreabilidade das intervenções de suporte.

Ação aplicável: peça ao fornecedor o procedimento de suporte: quando acedem, quem autoriza, se a intervenção fica registada e como é encerrada.

Onde ficam alojados os dados e o que isso implica para a sua clínica

«Onde ficam alojados os dados» não é uma curiosidade técnica. Afeta as transferências internacionais, quem pode intervir e a forma como a clínica responde a uma inspeção ou a uma violação de dados.

O que perguntar (sem entrar em jargão)

Numa conversa de 10 minutos pode esclarecer o essencial:

1. Em que país ou países são armazenados os dados e as cópias?
2. São tratados fora do EEE (Espaço Económico Europeu) em algum momento (suporte, monitorização, análise)?
3. Que entidades intervêm como subcontratantes ulteriores? (ver secção seguinte)
4. Como são separados os meus dados dos de outras clínicas? (multi-tenant, ambientes, etc.)

Se houver transferência internacional, tem de estar coberta pelos mecanismos do RGPD (por exemplo, decisões de adequação ou cláusulas contratuais-tipo). Não precisa de o resolver «a olho»: exija que o fornecedor o explique e o documente.

Ação aplicável

Acrescente à sua lista de verificação de compras uma pergunta obrigatória: «Confirme por escrito onde ficam alojados os dados e onde são guardadas as cópias». Sem essa resposta, o serviço não é ativado.

Subcontratantes ulteriores: a cadeia real de fornecedores

Numa clínica, é habitual que um fornecedor principal subcontrate partes do serviço: alojamento, mensagens, monitorização, suporte. Esses terceiros são subcontratantes ulteriores.

O que deve constar do contrato

O RGPD exige que o responsável pelo tratamento (a sua clínica) controle essa cadeia. Na prática, procure:

• Lista de subcontratantes ulteriores atuais (nome e função).
• Como será informado de novas entradas ou alterações de subcontratantes ulteriores.
• Se tem direito de oposição e como se exerce (prazo e canal).
• Que o fornecedor imponha ao subcontratante ulterior obrigações equivalentes às do contrato principal.

Em termos operacionais: se amanhã o fornecedor mudar de empresa de alojamento ou introduzir uma ferramenta nova que «vê» dados, tem de saber antes ou, pelo menos, através de um procedimento acordado.

Ação aplicável

Peça a «lista de subcontratantes ulteriores» como documento à parte e guarde-a junto ao contrato. Na sua revisão trimestral, verifique se mudou e se lhe foi comunicada conforme o acordado.

Medidas de segurança: o que pedir sem se tornar técnico

As medidas de segurança devem ser adequadas ao risco, e na saúde a fasquia sobe porque estamos a falar de dados de saúde (categorias especiais). A AEPD (autoridade espanhola de proteção de dados) insiste na abordagem da responsabilidade proativa: poder demonstrar que escolheu e controlou os seus fornecedores.

Medidas mínimas que se entendem numa clínica

Sem entrar em «fichas técnicas», peça compromissos claros sobre:

• Controlo de acessos: utilizadores nominativos, palavras-passe, perfis.
• Registo de ações: quem acede, o que altera, quando (sobretudo no processo clínico e na faturação).
• Cifragem: em trânsito e, se aplicável, em armazenamento (que o confirmem por escrito).
• Cópias de segurança: periodicidade definida, testes de reposição e separação de ambientes.
• Gestão de vulnerabilidades e correções: como se atualiza e em que prazos internos.
• Suporte: canais, identificação do requerente e limites de acesso.

Evite frases do tipo «aplicaremos medidas adequadas». Peça que lhe digam quais e como se verificam.

O que rever na sua própria clínica (não só no fornecedor)

O fornecedor não resolve maus procedimentos internos. Reveja:

• Entradas e saídas de pessoal: contas individuais e desativação imediata quando termina a relação laboral.
• Permissões por perfil: a receção não precisa de ver tudo o que vê um profissional de saúde, e a contabilidade não precisa de ver notas clínicas.
• Exportações: quem pode extrair listagens e com que finalidade.

Ação aplicável: na segunda-feira, reveja a lista de utilizadores do sistema e confirme que não há contas genéricas («Receção», «Admin») nem ex-funcionários ativos.

Incidentes e violações de dados: como fica a saber e o que faz cada parte

Quando há uma violação de dados (perda, acesso indevido, ransomware), a clínica precisa de duas coisas: saber depressa e poder agir. O RGPD estabelece obrigações de notificação em determinados casos; não espere para as ler a meio do problema.

O que deve dizer o contrato

Inclua, no mínimo:

• Canal de notificação (e-mail específico, telefone, portal).
• Que informação lhe darão: tipo de incidente, sistemas afetados, dados envolvidos, medidas aplicadas.
• Colaboração: que registos (logs) ou evidências podem fornecer e em que formato.
• Coordenação: quem é o ponto de contacto e que tempos de resposta assumem (sem inventar números; peça que os definam).

Ação aplicável

Defina um miniprotocolo interno de 1 página: «se o fornecedor avisar de um incidente, avisar o gerente + EPD (encarregado da proteção de dados)/assessor, congelar alterações, reunir tickets e comunicações». Guarde-o com o contrato.

Fim do serviço: devolução, apagamento e bloqueio de dados

A saída é o momento mais delicado: migrações, mudanças de fornecedor, encerramento da consulta ou reestruturações. Se não estiver assinado, improvisa-se.

O que convém deixar fechado

O contrato deve concretizar:

• Devolução de dados: formato, método de entrega e âmbito (fichas, documentos, agenda, faturas, anexos).
• Apagamento: o que se apaga, quando e como se comprova.
• Conservação: se, por motivos legais ou técnicos, houver retenção, que seja explicada (por exemplo, cópias de segurança durante um período), bem como a forma de limitar o acesso.
• Assistência na migração: que suporte prestam e em que condições (mesmo que seja como serviço adicional, que exista um caminho).

Numa clínica, o problema típico é descobrir tarde que os anexos (consentimentos assinados, relatórios digitalizados) não saem na exportação padrão.

Ação aplicável

Antes de assinar, peça uma amostra de exportação ou uma descrição exata do «pacote de saída»: o que inclui e o que não inclui. Se utiliza um software de gestão como o Clínica Digital Software, exija que o contrato descreva o procedimento de saída sem ambiguidades.

Como aplicar isto na sua clínica

1. Gerência (hoje): lista os fornecedores que acedem a dados ou os alojam e assinala os que não têm contrato assinado.
   Verificação: existe um documento por fornecedor na sua pasta «RGPD/Fornecedores».

2. Receção + responsável pelos sistemas (amanhã): verificam «onde ficam alojados os dados» e se há subcontratantes ulteriores nos serviços críticos (agenda/processo clínico, cópias de segurança, mensagens).
   Verificação: tem um e-mail ou anexo contratual com o país de alojamento e a lista de subcontratantes ulteriores.

3. Direção clínica ou responsável pela qualidade (esta semana): valida que as instruções de suporte estão delimitadas (quando podem ver dados reais e como se autoriza).
   Verificação: existe um procedimento interno de «suporte com dados» e é utilizado para abrir tickets.

4. Administração (sexta-feira): revê as cláusulas de fim de serviço: exportação, devolução e apagamento. Se faltarem, pede uma adenda.
   Verificação: o contrato descreve o formato de exportação e o apagamento, ou há um compromisso escrito do fornecedor.

5. Encarregado da proteção de dados / assessor (no fecho da semana): verifica a coerência com o seu registo de atividades e com os contratos.
   Verificação: o registo de fornecedores está atualizado e coincide com os contratos e anexos guardados.

Perguntas frequentes

Quando tenho de assinar um contrato com o subcontratante?

Tem de o assinar antes de o fornecedor aceder a dados pessoais ou os alojar por conta da clínica. Se já estiver em curso, regularize-o quanto antes e documente a data de assinatura. Condições genéricas não o substituem se não cobrirem o conteúdo exigido pelo RGPD.

O que acontece se o fornecedor utilizar subcontratantes ulteriores não declarados?

Passa a ser um risco de incumprimento e de perda de controlo sobre o tratamento. Exija a lista de subcontratantes ulteriores, o mecanismo de notificação de alterações e o seu direito de oposição. Se não o aceitarem por escrito, pondere mudar de fornecedor.

Como verifico onde os dados estão realmente alojados?

Peça-o por escrito no contrato ou num anexo: país de alojamento e país das cópias de segurança. Além disso, peça que indiquem se existe acesso a partir de fora do EEE por motivos de suporte ou administração. Se a resposta for vaga, insista até que seja verificável.

O contrato é válido se for o meu gabinete de contabilidade a assiná-lo por mim?

Só é válido se quem assina tiver poderes ou autorização suficiente da clínica para contratar e dar instruções ao subcontratante. Confirme internamente quem pode assinar e guarde prova dessa representação. Em caso de dúvida, assine a partir da gerência ou da administração com poderes.

Este artigo é informativo e não constitui aconselhamento jurídico nem fiscal. Consulte o seu assessor antes de tomar uma decisão.

Ligações externas

• O que deve conter um contrato de tratamento de dados pessoais? | Empresas | INCIBE (Instituto Nacional de Cibersegurança espanhol)
• contrato, o subcontratante
• Responsável ou subcontratante do tratamento de dados | Guia de proteção de dados para pequenas empresas | Comité Europeu para a Proteção de Dados
• Como sei se sou responsável pelo tratamento ou subcontratante? | AEPD
• 2.8.- RESPONSÁVEL PELO TRATAMENTO E SUBCONTRATANTE | AEPD
• O RGPD
• Se houver transferência internacional, tem de estar coberta pelos mecanismos do RGPD
• As medidas de segurança devem ser adequadas ao risco, e na saúde a fasquia sobe porque estamos a falar de dados de saúde (categorias especiais). A AEPD (autoridade espanhola de proteção de dados)
• Quando há uma violação de dados (perda, acesso indevido, ransomware), a clínica precisa de duas coisas: saber depressa e poder agir. O RGPD
• Tem de o assinar antes de o fornecedor aceder a dados pessoais ou os alojar por conta da clínica. Se já estiver em curso, regularize-o quanto antes e documente a data de assinatura. Condições genéricas não o substituem se não cobrirem o conteúdo exigido pelo RGPD