Segurança e Privacidade · Security & Privacy

• Autenticação obrigatória com email e password para qualquer utilização.
• Cada conta nova fica pendente até aprovação por um administrador do serviço.
• Níveis de acesso diferenciados por perfil — cada utilizador vê apenas o que lhe compete.
• As sessões são pessoais e intransmissíveis.

• Row Level Security (RLS) ativo em todas as tabelas operacionais — o acesso é verificado linha a linha pelo servidor, por utilizador autenticado.
• Nenhum dado do serviço é acessível sem sessão válida.
• Operações sensíveis são executadas por funções controladas no servidor, com validação de permissões.

• Toda a comunicação é cifrada em trânsito com HTTPS/TLS.
• As passwords são guardadas apenas de forma encriptada (hash) — nunca em texto legível.
• Requisitos mínimos: 8 caracteres, com minúscula, maiúscula, número e símbolo.
• Recuperação de password apenas por link enviado para o email registado, com validade limitada.

A infraestrutura de dados está alojada em servidores na União Europeia (Irlanda), garantindo que os dados permanecem no espaço do RGPD. A camada de rede é protegida por serviços com mitigação de ataques e firewall aplicacional.

Recolhemos apenas o necessário para a gestão do serviço — nome profissional, email de contacto e dados de escala/ausências. Os dados são usados exclusivamente para esse fim e não são partilhados com terceiros nem usados para fins comerciais.

• Só existem conversas entre cada pessoa e a coordenação — não há mensagens entre colegas.
• Uma conversa é lida por toda a coordenação, não por um administrador em particular. Não existem conversas privadas.
• Só texto: sem anexos e sem imagens. As mensagens não podem ser editadas nem apagadas depois de enviadas.
• Não se escrevem dados de doentes — em nenhum campo da aplicação, e nas mensagens com particular cuidado.
• Uma conversa sem atividade fecha ao fim de 30 dias e é apagada 90 dias depois do fecho.

• As notificações no telemóvel ou no computador são opcionais, ativadas por dispositivo e desligáveis a qualquer momento.
• O texto de uma mensagem nunca é enviado na notificação — só o título e o assunto da conversa, para não ficar visível no ecrã bloqueado.
• O registo de entrega é guardado por 30 dias (notificações) e 90 dias (email), apenas para diagnosticar falhas.

• A eliminação é automática e corre todas as noites — não depende de ninguém se lembrar.
• Disponibilidades: 1 ano após o processo. Turnos atribuídos: 3 anos (fica a contagem, sem o detalhe).
• Férias, CGS e outras ausências: 5 anos após a data de fim, por imposição legal do registo de tempos de trabalho. Trocas: 6 meses após o turno.
• Plano mensal — versões gravadas, marcações de leitura e PDF publicados: 5 anos após o fim do mês.
• Cirurgias com restrição de transfusão: 90 dias após a intervenção.

• Na data de saída registada, a conta é desativada e deixa de permitir entrada.
• Um ano depois, o perfil é anonimizado automaticamente: nome, email, sigla, contacto, horário base e respostas de objeção de consciência são apagados, tal como as subscrições de notificações e o link de calendário.

Enquanto titular dos dados, tem direito a:

• Mandatory authentication with email and password for any use.
• Every new account remains pending until approved by a department administrator.
• Role-based access levels — each user sees only what concerns them.
• Sessions are personal and non-transferable.

• Row Level Security (RLS) enabled on all operational tables — access is checked row by row by the server, per authenticated user.
• No department data is accessible without a valid session.
• Sensitive operations run through controlled server-side functions with permission checks.

• All communication is encrypted in transit with HTTPS/TLS.
• Passwords are stored only in encrypted (hashed) form — never as readable text.
• Minimum requirements: 8 characters, with lowercase, uppercase, a number and a symbol.
• Password recovery only via a time-limited link sent to the registered email address.

The data infrastructure is hosted on servers in the European Union (Ireland), ensuring data remains within the GDPR area. The network layer is protected by services with attack mitigation and an application firewall.

We collect only what is necessary to manage the department — professional name, contact email and schedule/absence data. Data is used solely for that purpose and is not shared with third parties or used for commercial purposes.

• Conversations exist only between each person and the department coordination — there are no messages between colleagues.
• A conversation is read by the whole coordination team, not by one particular administrator. There are no private conversations.
• Text only: no attachments, no images. Messages cannot be edited or deleted once sent.
• Patient data must never be entered — in no field of the application, and in messages with particular care.
• A conversation with no activity closes after 30 days and is deleted 90 days after closing.

• Notifications on phone or computer are optional, enabled per device and switchable off at any time.
• The text of a message is never sent in the notification — only the conversation's title and subject, so it does not appear on a locked screen.
• Delivery logs are kept for 30 days (notifications) and 90 days (email), solely to diagnose failures.

• Deletion is automatic and runs every night — it does not depend on anyone remembering.
• Availability: 1 year after the process. Assigned shifts: 3 years (the running total is kept, without the detail).
• Holidays, CGS and other absences: 2 years after the end date. Swaps: 6 months after the shift.
• Surgery with transfusion restriction: 90 days after the procedure.

• On the recorded leaving date, the account is deactivated and can no longer be used to sign in.
• Two years later, the profile is anonymised automatically: name, email, initials, contact, base working hours and conscientious objection answers are erased, as are notification subscriptions and the calendar link.

As a data subject, you have the right to: