Guidelines éticas e política de gestão de dados

1. Objetivo do Documento

O projeto TRIALS READY tem como objetivos o desenvolvimento de uma solução integrada inovadora, baseada numa plataforma de gestão de ensaios clínicos, que combina múltiplos módulos com funcionalidades de inteligência artificial (IA), assim como o desenvolvimento de uma ferramenta de gestão de inovação que facilite a gestão de ideias e oportunidades. Este documento estabelece as diretrizes éticas, as normas de conduta assim como a política e o plano de gestão de dados a seguir no âmbito do projeto, garantindo o cumprimento das obrigações legais e regulamentares vigentes a nível nacional e europeu, assim como as diretrizes da ANI (Agência Nacional de Inovação) e entidades financiadoras.

O plano de gestão de dados será atualizado ao longo do projeto, sempre que necessário, para contemplar todos os dados identificados como estritamente necessários a recolher no âmbito do projeto e dos respetivos estudos clínicos a realizar, bem como todas as medidas técnicas e organizativas de proteção de dados a implementar nas ferramentas e durante a realização dos estudos clínicos, de forma a garantir a conformidade com a legislação aplicável e as exigências dos financiadores.

Todos os participantes, parceiros e colaboradores do projeto devem cumprir estas orientações de forma rigorosa.

2. Enquadramento Legal e Regulamentar

As atividades do projeto obedecem às seguintes normas e regulamentos:

Regulamento Geral sobre a Proteção de Dados (RGPD – UE 2016/679)
Lei n.º 58/2019 – Execução do RGPD em Portugal
Lei n.º 21/2014, com as respetivas alterações – Investigação Clínica em Portugal
ICH-GCP E6 (R3) – Boas Práticas Clínicas
Declaração de Helsínquia
Carta dos direitos fundamentais da EU
Convenção Europeia dos direitos humanos
Regulamento (UE) 2024/482 – Cibersegurança
Regulamento (UE) 2024/1689 – Inteligência Artificial e AI Act
CTR (EU 536/2014) – Regulamento de ensaios clínicos
Parecer dos Comités de Ética e autorização do respetivo Encarregado de proteção de dados (EPD).
Orientações ANI e regras dos programas COMPETE e Portugal 2030

3. Ética na Investigação e Envolvimento Humano

3.1. Princípios Éticos Fundamentais

De acordo com a declaração de Helsínquia e ICH-GCP E6 (R3) – Boas Práticas Clínicas, todas as atividades que envolvem participantes humanos serão regidas pelos seguintes princípios éticos fundamentais:

Respeito pela dignidade humana, direitos, liberdades, segurança e bem-estar dos participantes;
Garantia do consentimento informado, por escrito, livre, esclarecido e específico antes de qualquer recolha ou tratamento de dados pessoais;
Justificação científica e valor ético;
Avaliação rigorosa dos riscos e benefícios;
Transparência na recolha e uso dos dados;
Revisão ética independente;
Privacidade, segurança da informação e confidencialidade;
Investigação realizada por pessoal qualificado, cujos papeis e responsabilidades devem ser claras e estar documentadas;
Protocolos claros e viáveis e monitorização contínua da qualidade e do cumprimento do protocolo e das especificações, para gerar resultados confiáveis;
Minimização de dados (apenas dados necessários);
Não-maleficência e proporcionalidade.

3.2. Atividades Envolvendo Dados de Participantes

3.2.1. Recolha de Dados Pessoais Não Sensíveis em Workshop, Entrevistas, Inquéritos e Grupos Focais

Todas a atividades que envolvem a recolha de dados pessoais não sensíveis, através de workshops, entrevistas, inquéritos e grupos focais com utilizadores e stakeholders, serão planeados de modo a garantir que:

Os participantes serão informados previamente sobre os objetivos, metodologias, o uso dos dados, os seus direitos e contacto do respetivo EPD.
Será obtido previamente o consentimento informado, por escrito ou digitalmente.
Os participantes poderão retirar o consentimento a qualquer momento, sem qualquer prejuízo.
Os dados serão tratados de forma confidencial e anonimizados/pseudonimizados, antes de qualquer análise e apenas serão publicados resultados anonimizados ou agregados, para salvaguarda do anonimato e confidencialidade dos participantes.
Minimização de dados pessoais recolhidos (princípio da “minimização dos dados”)
Os dados recolhidos servem, estritamente, os fins do projeto: recolha de requisitos, avaliação da experiência dos utilizadores e melhorias na plataforma e nas ferramentas desenvolvidas.

3.2.2. Recolha de Dados Pessoais Sensíveis em Estudo Piloto com Dados Reais de Pacientes

Será realizado um estudo piloto que terá como objetivo testar a plataforma TRIALS READY com todas as ferramentas integradas. Será efetuado um estudo clínico de iniciativa do investigador e de intervenção, não envolvendo dispositivos médicos (MDs), Dispositivos de Diagnóstico In Vitro (IVDs) nem produtos medicinais. Este estudo será conduzido pela Universidade de Évora e/ou de parceiros associados (Hospital da Luz Learning Health, Nova Medical School) e será planeado de forma a garantir que:

O estudo de intervenção será submetido a avaliação prévia dos comités de ética clínica das entidades envolvidas e dos EPDs.
O estudo piloto só será iniciado após autorização formal dos comités de ética e parecer do EPD de cada instituição envolvida;
O estudo piloto será conduzido exclusivamente após obtenção de consentimento informado, por escrito, de cada participante.

Não será necessária autorização da CEIC nem do INFARMED, conforme o disposto na Lei n.º 21/2014 e CTR (EU 536/2014).
O estudo piloto será realizado no estrito respeito pelo princípio da dignidade da pessoa humana e dos seus direitos fundamentais, reforçando-se que os direitos dos participantes prevalecem sobre os interesses da ciência e da sociedade. Na realização da investigação serão tomadas todas as precauções no sentido do respeito da privacidade e dos direitos dos participantes, de acordo com a Lei da Investigação Clínica.
Serão cumpridas as recomendações éticas e de proteção de dados para um estudo clínico de intervenção, por iniciativa do investigador, não envolvendo dispositivos médicos, produtos medicinais, MDs ou IVDs, de acordo com a declaração de Helsínquia e ICH-GCP E6 (R3).
Serão cumpridas todas as normas do RGPD e regulamentos nacionais.

3.2.3. Website do Projeto e Transparência Digital

O projeto contará com um website institucional – www.trialsready.eu – onde serão disponibilizadas informações relevantes sobre as atividades, resultados e oportunidades de envolvimento de utilizadores (ex.: formulário de contacto, subscrição de newsletter).

O website cumprirá os seguintes princípios:

Estará em conformidade com o RGPD e com a Lei n.º 58/2019;
Incluirá uma Política de Privacidade e de Cookies (https://trialsready.eu/home/politica-de-privacidade) visível e clara, com indicação:
- Dos tipos de dados recolhidos (se aplicável);
- Da finalidade do tratamento;
- Dos direitos dos titulares dos dados;
Será implementado um sistema de consentimento informado para cookies (opt-in), quando necessário;
Todos os formulários online para preenchimento do utilizador incluirão campos de informação para que seja dado o consentimento explícito e prévio pelo titular dos dados.

A gestão do website será centralizada pela Associação CoLAB TRIALS e revisto pelos parceiros do consórcio.

3.2.4. Comunicação nas Redes Sociais (LinkedIn)

Além do website institucional, o projeto conta com uma página oficial no LinkedIn, com o objetivo de divulgar atualizações, resultados e oportunidades de envolvimento.

Embora a maior parte da interação se limite a comunicações públicas de conteúdos institucionais e científicos, respeitando integralmente a privacidade dos participantes, será assegurado que:

Nenhum dado pessoal recolhido através da plataforma será utilizado sem consentimento explícito;
Quaisquer dados pessoais divulgados para fins de disseminação (ex. depoimentos) exigirão um expresso consentimento;
Não serão solicitadas informações sensíveis através de mensagens privadas ou comentários;
Quaisquer convites para participação em estudos ou atividades serão acompanhados de informações claras sobre o tratamento de dados;
A gestão da conta será centralizada pela Associação CoLAB TRIALS e revisto pelos parceiros do consórcio;
A conta respeitará as boas práticas de comunicação ética e de privacidade previstas no RGPD e na legislação nacional.

4. Política de Gestão de Dados

4.1. Princípios do RGPD

Todos os dados serão tratados de acordo com os princípios do artigo 5.º do RGPD:

Licitude, lealdade e transparência: objeto de um tratamento lícito, leal e transparente em relação ao titular dos dados;

Limitação das finalidades: recolhidos para finalidades determinadas, explícitas e legítimas e não podendo ser tratados posteriormente de uma forma incompatível com essas finalidades;
Minimização dos dados: adequados, pertinentes e limitados ao que é necessário relativamente às finalidades;
Exatidão: exatos e atualizados sempre que necessário. Os dados inexatos serão apagados ou retificados sem demora;
Limitação da conservação: conservados apenas durante o período necessário para as finalidades para as quais são tratados (em particular, para o estudo clínico os dados serão conservados por um período máximo de 5 anos, após o qual apenas os dados anonimizados poderão ser conversados s publicados);
Integridade e confidencialidade: tratados de uma forma que garanta a proteção contra o tratamento não autorizado ou ilícito e contra a sua perda, destruição ou danificação acidental;
Responsabilidade demonstrada: capacidade de demonstrar conformidade com todos os princípios acima.

4.2. Consentimento, Direitos dos Titulares e Transparência

Consentimento informado: Obrigatório para qualquer recolha ou tratamento de dados pessoais.
Direitos garantidos:
- Direito de acesso, retificação, limitação do tratamento, oposição ao tratamento e apagamento dos dados (quando aplicável) e portabilidade (conforme artigo 15-22 do RGPD).
- Direito a retirar consentimento, sem prejuízo da licitude do tratamento previamente realizado.
Transparência: Informação acessível sobre tratamento, garantias e disponibilização de contacto direto do investigador responsável do estudo e EPD da respetiva instituição, em todos os formulários/consentimentos.

4.3. Plano de Gestão de Dados (DMP)

O Plano de Gestão de Dados descreve os princípios, métodos e procedimentos adotados para garantir uma gestão ética, segura, legal e eficaz dos dados recolhidos, processados, armazenados e partilhados no âmbito do projeto TRIALS READY.

Este plano será atualizado ao longo do projeto, sempre que necessário, para garantir a conformidade com a legislação aplicável e as exigências dos financiadores.

4.3.1. Descrição dos Dados a Serem Gerados ou Reutilizados

Tipos de dados:

Dados de workshops, entrevistas, inquéritos e grupos focais, testes de conceito para recolha de comentários de utilizadores (texto, gravações, respostas estruturadas):
- Consentimento Informado de cada participante;
- Dados pessoais identificáveis (nome, email, cargo, organização – quando fornecidos voluntariamente);
- Dados pseudonimizados/anónimos recolhidos sobre requisitos, necessidades, preferências, opiniões e sugestões sobre o software de ensaios clínicos;
- Dados sobre a forma de fotografia ou vídeo para tratamento e publicação de fotografias e vídeos de workshops contendo imagem dos participantes, mediante consentimento informado prévio;
Dados qualitativos e quantitativos de interação dos utilizadores durante os testes efetuados às ferramentas e plataforma.
Dados do estudo piloto com dados de utilizadores:
- Consentimento informado de cada participante
- Dados de saúde (dados pessoais sensíveis ao abrigo do RGPD) reais, caso necessário, em alternativa serão usados dados simulados ou sintéticos; diferentes métodos de proteção de dados serão implementados consoante a natureza dos dados;
- Dados de interação com a plataforma;

Dados Digitais de Comunicação e Disseminação através do Website oficial do projeto e Página de LinkedIn do projeto e dos parceiros do consórcio:
- Conteúdo para o website e redes sociais (textos, imagens, vídeos)
- Dados de tráfego e cookies (com consentimento);
- Subscrições de newsletters;
- Formulários de contacto;
- Dados pessoais de membros da equipa apenas para comunicação institucional via Website/LinkedIn/produtos de divulgação.
Código-fonte dos módulos de IA e ferramentas da plataforma, propriedade do TRIALS READY
Bases de dados públicas de ensaios clínicos serão usados para treinar e testar os algoritmos de IA.

Origem dos dados:

Recolha diretamente do titular, por resposta direta em dinâmicas de workshops, entrevistas, inquéritos, grupos focais e testes de conceito para recolha de comentários de utilizadores.
Dados clínicos recolhidos durante o estudo piloto
Desenvolvimento interno de código-fonte dos módulos de IA e ferramentas da plataforma pela equipa técnica do projeto, com base em bibliotecas open source licenciadas sob MIT e Apache 2.0 e ainda em base de dados públicas de ensaios clínicos (clinicaltrials.gov, euclinicaltrials.eu e Pubmed). Todo o código desenvolvido será documentado e armazenado em repositórios controlados (GitLab), com versão e licença associada. Os dados usados no âmbito do projeto serão armazenados no Google Drive.

Volume estimado:

~60 GB dados qualitativos (textuais)
~20 GB dados clínicos (anonimizados)
~500 MB código e documentação

Formatos: CSV, XLSX, PDF, MP4, DOCX, JSON, TXT

4.3.2. Princípios FAIR

O projeto TRIALS READY seguirá os princípios FAIR.

Findable (Encontráveis):

Os documentos do projeto, em particular, relatórios e entregáveis serão identificáveis com nome do projeto, data e versões.
Os dados serão identificados com DOIs, metadados descritivos e depositados em repositórios como Zenodo ou repositórios institucionais da Universidade de Aveiro e da Universidade de Évora.

Accessible (Acessíveis):

Os dados do projeto serão guardados na pasta do projeto, partilhada apenas entre parceiros do projeto, sendo o acesso restrito e mediante email e password.
Dados anonimizados, modelos ou software (que não esteja sujeito a propriedade intelectual ou que tenha potencial de exploração) poderão ser publicados em repositórios abertos (ex: Zenodo, Open Science Framework, Figshare) assegurando a interoperabilidade, reprodutibilidade e a explicabilidade. Os dados anonimizados e não sensíveis serão partilhados com licença Creative Commons (CC-BY-NC-ND), no entanto, mediante o conteúdo que será partilhado o consórcio poderá decidir aplicar outra licença.
Dados sensíveis anonimizados e agrupados poderão ser publicados em repositórios os quais terão um DOI e estarão acessíveis apenas sob pedido, seguindo o protocolo aprovado pela comissão de ética e EPD.

Interoperable (Interoperáveis):

Serão usados formatos abertos e padrões comuns (ex: CDISC, OMOP) de forma a permitir a reutilização e reprodutibilidade, bem como o uso em diferentes tipos de plataformas.

Reusable (Reutilizáveis):

Os dados incluem metadados completos acompanhados de ficheiros explanatórios, licenças claras e documentação para permitir reuso.

Recursos alocados:

O custo da manutenção da pasta do consórcio bem como a preservação a longo prazo nos repositórios será avaliada pelos membros dos consórcios e potencialmente cobertas pelos lucros gerados após comercialização do produto.

4.3.3. Tratamento, Armazenamento, Segurança e Acesso aos Dados

Aspeto	Medidas Aplicadas
Tratamento	Processamento dos dados de acordo com a finalidade prevista (desenvolvimento e validação da plataforma) e apenas por pessoas autorizadas, cumprindo o RGPD.Quando os dados do inquérito são recebidos, os mesmos serão pseudonimizados (o número de código do participante aparecerá no lugar do nome). No início de cada entrevista semiestruturada, será atribuído um código a cada participante de forma que as suas opiniões nunca sejam associadas ao seu nome.Os dados clínicos recolhidos durante o estudo piloto são pseudonimizados (através da atribuição de um código) sempre que possível.Os dados são anonimizados e/ou agregados antes de qualquer divulgação de dados em publicações científicas, comunicações ou qualquer outro tipo de evento de comunicação.
Armazenamento	Consentimentos informados dos workshops e da folha de codificação serão guardados num armário fechado com chave e de acesso restrito ao investigador principal. Consentimentos informados das entrevistas, assinados digitalmente, assim como gravações de áudio e vídeo, serão guardados na pasta do OneDrive da Universidade de Aveiro. Os dados pseudonimizados (o número de código do participante aparecerá no lugar do nome) serão armazenados no Google Drive do projeto TRIALS READY, através de subscrições do plano Google Workspace Plus. A infraestrutura de armazenamento da Google é globalmente distribuída, o que garante um elevado nível de resiliência e disponibilidade. No que diz respeito à localização dos servidores, e para cumprir com os mais rigorosos requisitos de soberania e residência de dados, a nossa organização ativou a política de “Regiões de Dados”. Esta configuração garante contratualmente que todos os dados primários do projeto, quando em repouso, sejam armazenados exclusivamente em centros de dados localizados na União Europeia. O acesso é controlado e os backups encriptados. Os dados físicos (consentimentos informados em papel) são guardados em envelope selado, num armário fechado com chave, e com acesso restrito ao investigador principal do estudo.Os dados clínicos pseudonimizados serão armazenados na plataforma TRIALS READY, na qual serão implementadas medidas de segurança como acesso restrito e mediante email e password e dupla autenticação.
Segurança	Serão implementadas de medidas técnicas e organizativas adequadas para proteger dados contra destruição acidental ou ilícita, perda, alteração, divulgação ou acesso não autorizado. A proteção dos dados é assegurada através de uma abordagem multicamada. Toda a informação é permanentemente cifrada, tanto quando está em repouso como em trânsito, o que a torna completamente ilegível para terceiros. Adicionalmente, os centros de dados são protegidos por rigorosas medidas de segurança física, que incluem vigilância 24 horas por dia e controlos de acesso restritos. Toda esta infraestrutura de segurança é validada pelo cumprimento das mais exigentes normas internacionais, como a ISO 27001 e o regulamento RGPD, garantindo assim a conformidade legal e a proteção técnica dos dados.Registo de acesso à informação para controlo das operações.Serão realizados backups regulares dos dados para garantir a disponibilidade deste. A estratégia de backup assenta numa abordagem dupla, que combina as cópias de segurança automáticas e geridas pela Google com a possibilidade de implementar procedimentos de backup adicionais, caso o nível de risco do projeto o justifique. A Google realiza, de forma contínua e automática, cópias de segurança dos dados armazenados no Google Drive e em todo o ecossistema Google Workspace. Estes backups são uma medida de proteção fundamental, desenhada para garantir a continuidade do serviço e a recuperação de dados em caso de falhas de hardware, desastres naturais ou outras interrupções nos centros de dados da Google. Além disso, em conformidade com a política de “Regiões de Dados” ativadas, não só os dados primários, mas também as cópias de segurança desses dados geridas pela Google, são contratualmente armazenadas em repouso em centros de dados localizados exclusivamente na União Europeia. Esta medida assegura que tanto a informação principal como as suas réplicas para recuperação de desastres cumprem os mesmos requisitos de residência de dados.
Acesso	Restringido a membros autorizados do projeto, através de email e palavra-passe, com diferentes perfis de utilizador e níveis de acesso definidos.

4.3.4. Cibersegurança e IA

A plataforma TRIALS READY será desenvolvida em conformidade com o Regulamento Europeu de Cibersegurança (UE 2024/482);

O projeto utilizará tecnologias de IA, incluindo LLMs, para sistematizar informação, facilitar a partilha de conhecimento, criar conteúdo e também para desenvolver e ajustar modelos de linguagem e arquiteturas baseadas em IA capazes de propor o desenho de ensaios clínicos e a geração de relatórios de ensaios clínicos, sempre supervisionados pelos membros da equipa. Todos os outputs gerados pelos LLMs serão criticamente avaliados e editados.

O projeto cumprirá integralmente o Regulamento de IA (UE 2024/1689), AI Act da UE (Regulamento EU 2024/1130), o RGPD e a Carta dos Direitos Fundamentais da UE, garantindo que todos os sistemas de IA sejam transparentes, éticos e centrados no ser humano.

As principais medidas incluem:

Transparência: Todos os outputs gerados por IA (por exemplo, vídeos, respostas de chatbots, recomendações de política) serão claramente identificados. Os utilizadores serão informados do papel da IA na criação do conteúdo.
Supervisão Humana: O conteúdo gerado por IA será revisto por especialistas na matéria antes da publicação, particularmente em materiais relacionados com política, gestão da inovação e saúde.
Mitigação de Viés: Serão considerados processos de co-design inclusivo e verificações de viés, especialmente no que diz respeito às experiências e feedback dos utilizadores.

Estas ações asseguram que a utilização da IA reforça a equidade, participação e confiança na inovação em gestão de ensaios clínicos.

A plataforma adotará medidas como autenticação forte, encriptação, backups regulares e testes de segurança.

4.3.5. Partilha e Transferência de Dados

O projeto envolve a partilha de dados com o consórcio do projeto, os quais têm acesso à pasta do projeto na Google Drive. Nesse sentido, foi assinado um Acordo de Tratamento de Dados entre os membros do consórcio.

Dados a partilhar: resultados de inquéritos, entrevistas, inquéritos e grupos focais (anonimizados), requisitos, especificações funcionais, código-fonte das ferramentas/plataforma.

Dados anonimizados, nunca incluindo informação identificável, poderão ser reutilizados para:

Fins académicos ou científicos;
Relatórios para financiadores;
Publicações em revistas científicas;
Divulgação no Website/LinkedIn, sempre consentidas previamente.

Dados pessoais não serão partilhados com terceiros, exceto se exigido por lei (ex. auditorias) ou com consentimento explícito dos titulares dos dados.

As transferências de dados serão restritas aos membros do consórcio (no espaço do EEE – Espaço Económico Europeu) e respeitará o Acordo de Tratamento de Dados assinado entre os membros do consórcio.

Repositórios: Zenodo, Repositórios institucionais da Universidade de Aveiro e da Universidade de Évora.

Licenças: Creative Commons (CC-BY-NC-ND).

4.3.6. Conservação e Eliminação dos Dados

Os dados serão conservados de acordo com o estipulado na deliberação nº 1704/2015 da CNPD.

Tipo de Dado	Prazo de Conservação	Eliminação
Dados de workshops / inquéritos / entrevistas / grupos focais / consentimentos informados	Até 5 anos após fim do projeto	Eliminação segura com registo formal
Dados clínicos (estudo piloto)	Até 5 anos após o fim do estudo	Eliminação encriptada ou destruição física
Dados do website/LinkedIn	Conforme política de cookies	Mediante pedido ou fim de necessidade

4.3.7. Gestão de Riscos e Incidentes

Serão implementadas medidas para evitar riscos e incidentes.
Plano de reação a incidentes (data breach): Comunicação ao EPD, CNPD, ANI, se aplicável, e aos titulares dos dados, no prazo legal de 72h após deteção.
Procedimentos internos para prevenção, registo, análise e mitigação de incidentes.
Monitorização e atualização dos riscos associada ao cronograma das atividades.
Armazenamento da lista que permite identificar os titulares dos dados fisicamente separada da base de dados digital do estudo, minimizando o risco de identificação destes em caso de data breach.

4.3.8. Monitorização

Todas as atividades do projeto serão sujeitas monitorização contínua para avaliar o cumprimento das normas éticas e de proteção de dados;
Qualquer desvio será reportado às entidades competentes aplicáveis;
Qualidade e integridade dos dados será assegurada por monitorização adequada e proporcional;
Disponibilização de relatórios periódicos, técnico-científicos, às entidades financiadoras (COMPETE/ANI/UE).

4.3.9. Responsabilidades

Cada um dos promotores do projeto será responsável por garantir o cumprimento das normas éticas e legais dentro do seu âmbito das suas atividades.
Todos os parceiros e colaboradores estarão devidamente capacitados sobre ética e proteção de dados.
O coordenador do projeto é responsável pelo cumprimento das políticas definidas no que se refere à infraestrutura, política de backup e controlo de acessos à pasta de consórcio detida por este e partilhada com os restantes membros do consórcio.
O líder da tarefa será responsável pela definição e actualização deste documento, supervisão da sua implementação junto dos parceiros do consórcio.

4.3.10. Gestão e Atualização do Plano de Gestão de Dados

O DMP será revisto, atualizado e comunicado pelo líder da tarefa:
- Sempre que houver alterações no tipo de dados recolhidos ou tratados;
- Sempre que solicitado por entidades financiadoras, EPDs ou comités de ética.
Todas as versões serão arquivadas e acessíveis ao consórcio e entidade financiadora.

Este documento deverá ser divulgado a todos os parceiros e membros da equipa do projeto. Terá acesso público através do website do projeto. Será revisto anualmente e atualizado sempre que necessário para garantir alinhamento permanente com os requisitos regulatórios e melhores práticas éticas vigentes.