Política de Privacidade e Protecção de Dados Pessoais dos Colaboradores
Emitida por Clínica Barispol, Lda. (marca «Centro Médico Barispol»), NIF 5000999687, Bairro Bom Sossego, Camama, Luanda, Angola. Versão 2, em vigor desde 22 de Outubro de 2026.
Esta política segue a Lei n.º 22/11, de 17 de Junho (Lei da Protecção de Dados Pessoais de Angola), a Lei n.º 7/17 (Protecção das Redes e Sistemas Informáticos) e as boas práticas internacionais: o Regulamento Geral sobre a Protecção de Dados da União Europeia (RGPD) e as normas ISO/IEC 27001 (segurança da informação) e ISO/IEC 27701 (gestão da privacidade).
1. Âmbito
Aplica-se a todas as pessoas que trabalham com a clínica, com contrato de trabalho ou de prestação de serviços, e que usam o Barispol Workspace, as aplicações para telemóvel e computador, o correio electrónico da clínica e os demais sistemas de informação.
2. Responsável pelo tratamento e contacto
A Clínica Barispol, Lda. é a responsável pelo tratamento dos dados pessoais descritos nesta política. Para qualquer assunto de protecção de dados, incluindo o exercício de direitos e a comunicação de incidentes: rh@barispol.com.
3. Princípios
Os dados são tratados de forma lícita, leal e transparente; recolhidos para fins determinados e legítimos; limitados ao necessário; exactos e actualizados; conservados apenas pelo tempo necessário; protegidos contra acesso, perda ou alteração indevidos; e a clínica responde pelo cumprimento destes princípios e consegue demonstrá-lo.
4. Dados tratados
- Identificação e contacto: nome, fotografia, e-mail, telefone, função, área, superior hierárquico.
- Dados contratuais e profissionais: escalas, presenças, férias e ausências, formações, credenciais profissionais, avaliações de desempenho, produtividade e dados de pagamento.
- Dados de saúde do colaborador, apenas quando entregues por ele para justificar ausências (atestados).
- Comunicações de trabalho: mensagens, publicações, tarefas, agenda, documentos e ficheiros criados nos sistemas da clínica.
- Dados técnicos e de segurança: data e hora de cada acesso, endereço IP, aparelho e navegador, verificação em dois passos, ecrãs com dados sensíveis consultados, tentativas de captura de ecrã e alterações feitas aos dados.
Os sistemas da clínica não recolhem a localização do aparelho, os contactos do telemóvel nem dados para publicidade.
5. Finalidades e fundamentos
| Finalidade | Fundamento |
|---|---|
| Gestão da relação de trabalho ou de prestação de serviços: escalas, férias, avaliações, pagamentos | Execução do contrato e cumprimento de obrigações legais (laborais, fiscais e de segurança social) |
| Organização do trabalho e comunicação interna | Execução do contrato |
| Segurança da informação e protecção dos dados dos utentes: controlo de acessos, registos, verificação da rede, prevenção de fugas | Interesse legítimo da clínica e cumprimento do dever legal de sigilo e de segurança |
| Justificação de ausências por doença | Cumprimento de obrigações legais e laborais |
O tratamento não depende do consentimento do colaborador, salvo nos casos em que esta política o diga expressamente.
6. Monitorização dos sistemas
Para proteger os dados dos utentes, a clínica regista os acessos aos sistemas e às informações sensíveis e verifica a rede de onde cada acesso é feito. Os sistemas da clínica são de uso profissional. Os registos servem apenas fins de segurança, auditoria e cumprimento legal; não se usam para vigiar a vida privada nem para avaliar o desempenho fora destes fins. O conteúdo das comunicações só é consultado quando a lei o permita, por exemplo para investigar um incidente de segurança.
7. Uso fora das instalações
Por segurança, os sistemas com dados de utentes só podem ser usados na rede da clínica. Fora dela, o acesso fica limitado às comunicações e às escalas, excepto para as funções que a Direcção autoriza por escrito. Tentar contornar esta regra é uma falta grave.
8. Destinatários e subcontratantes
Dentro da clínica, cada pessoa só acede ao que a sua função exige. Os dados pessoais de cada colaborador são vistos pelo próprio, pelo superior hierárquico, pelo chefe da área e pela gestão; os dados de pagamento, só pela Direcção Geral e pelos Recursos Humanos.
A clínica recorre a prestadores de serviços tecnológicos que tratam dados apenas por sua conta, segundo as suas instruções e com obrigações de confidencialidade e segurança:
- Supabase: alojamento da base de dados e dos ficheiros (União Europeia, França).
- Resend: envio de e-mails automáticos (Estados Unidos).
- Anthropic: assistente de inteligência artificial; recebe apenas o texto das perguntas (Estados Unidos).
- Google, Apple e Microsoft: entrega das notificações, sem o conteúdo das mensagens.
- MetaGest: gestão clínica e facturação.
Os dados também podem ser comunicados a autoridades públicas quando a lei o exija. Não são vendidos nem cedidos para fins comerciais.
9. Transferências internacionais
Alguns prestadores estão fora de Angola. Essas transferências fazem-se nos termos da lei aplicável, apenas com os dados necessários, com ligação cifrada e com garantias contratuais de protecção equivalentes às exigidas em Angola.
10. Conservação
- Dados da relação de trabalho: durante o vínculo e, depois, pelos prazos da lei laboral, fiscal e de segurança social.
- Registos de acesso: 12 meses. Auditoria das alterações aos dados: 24 meses. Cópias de segurança: 7 dias.
- Comunicações de trabalho: enquanto forem necessárias à actividade da clínica.
Terminado o prazo, os dados são apagados ou tornados anónimos.
11. Medidas de segurança
A clínica aplica medidas técnicas e organizativas adequadas ao risco, entre elas: ligação sempre cifrada; verificação em dois passos; acesso por função; registo de acessos e de alterações; verificação da rede; protecção contra capturas de ecrã; sessões que terminam ao fechar a aplicação; cópias de segurança diárias; e formação da equipa.
12. Deveres do colaborador
- Guardar sigilo sobre os dados de utentes e da clínica, também depois do fim do vínculo.
- Consultar dados de utentes apenas quando a função o exija e nunca os copiar, fotografar ou partilhar fora dos sistemas da clínica, nem escrevê-los no assistente de inteligência artificial.
- Não partilhar a palavra-passe nem o código da verificação em dois passos; sair da sessão em computadores partilhados.
- Comunicar de imediato à Direcção a perda de um aparelho ou qualquer suspeita de incidente.
O incumprimento destes deveres pode dar lugar a procedimento disciplinar, sem prejuízo de outras responsabilidades legais.
13. Incidentes de segurança
Qualquer violação de dados pessoais é registada e investigada. Quando a lei o exija, a clínica comunica-a à Agência de Protecção de Dados e às pessoas afectadas, sem demora injustificada e, sempre que possível, no prazo de 72 horas.
14. Decisões automatizadas
Nenhuma decisão com efeitos jurídicos ou significativos sobre o colaborador é tomada apenas por meios automáticos. Os cálculos feitos pelos sistemas (por exemplo, produtividade ou apuramentos) são sempre revistos e decididos por uma pessoa.
15. Direitos do titular dos dados
Cada colaborador pode pedir o acesso aos seus dados, a rectificação, o apagamento quando a lei o permita, a limitação do tratamento e a oposição a tratamentos baseados em interesse legítimo, bem como receber os seus dados num formato de uso corrente. O pedido faz-se por escrito para rh@barispol.com e tem resposta em 30 dias. Pode também apresentar queixa à Agência de Protecção de Dados (APD).
16. Alterações e tomada de conhecimento
Esta política é revista sempre que a lei, os sistemas ou os tratamentos mudem. Cada versão nova é apresentada no Workspace para nova tomada de conhecimento, e uma cópia é enviada por e-mail a cada colaborador.