Acordo de Tratamento de Dados (DPA)

1. Objeto e dados tratados

A Operadora trata, em nome da Controladora, os dados de pacientes, médicos e equipe cadastrados no sistema, descritos na Política de Privacidade, incluindo dados sensíveis de saúde ligados às consultas, com a finalidade exclusiva de prestar o serviço de gestão da clínica (agenda, cadastro, cobrança, relatórios e mensagens aos pacientes).

2. Instruções da Controladora

• A Operadora trata os dados somente conforme as instruções da Controladora, que são as configurações e o uso do sistema e os pedidos feitos pelos canais de atendimento.
• A Operadora não usa os dados de pacientes para finalidades próprias, não os vende e não os compartilha com terceiros, salvo os suboperadores deste acordo ou por ordem legal.
• A Controladora garante que tem base legal para o tratamento e que informou os titulares quando necessário.

3. Confidencialidade e acesso da equipe

Só pessoas da Operadora que precisam prestar suporte ou manter o sistema têm acesso aos dados, sob dever de sigilo. Todo acesso da equipe a uma clínica ("modo suporte") é feito com usuário identificado e fica registrado na auditoria da própria clínica, que pode consultá-lo a qualquer momento.

4. Segurança

A Operadora mantém medidas técnicas e administrativas adequadas ao risco, entre elas: conexão cifrada, separação lógica entre clínicas, controle de acesso por papéis, senhas cifradas, criptografia de credenciais sensíveis, registro de auditoria, cópias de segurança e atualização dos componentes do sistema.

5. Suboperadores

A Controladora autoriza o uso dos suboperadores listados na Política de Privacidade (hospedagem, banco de dados, e-mail, pagamentos, login e WhatsApp). A Operadora exige deles obrigações de proteção de dados equivalentes às deste acordo e avisará a Controladora antes de incluir um novo suboperador que trate dados de pacientes, permitindo que ela se oponha de forma fundamentada.

6. Direitos dos titulares

A Operadora ajuda a Controladora a atender pedidos de pacientes (acesso, correção, portabilidade, eliminação e outros), pelas funções do sistema ou mediante solicitação. Se um paciente procurar diretamente a Operadora, ela encaminhará o pedido à Controladora.

7. Incidentes de segurança

A Operadora comunicará à Controladora, em até 48 horas depois de tomar conhecimento, qualquer incidente de segurança que envolva os dados dela, com as informações disponíveis sobre o que aconteceu, os dados e titulares afetados e as medidas adotadas, para que a Controladora possa cumprir suas obrigações perante a ANPD e os titulares.

8. Transferência internacional

Quando suboperadores tratarem dados fora do Brasil, a transferência seguirá o artigo 33 da LGPD, com garantias contratuais de proteção compatíveis com a lei brasileira.

9. Fiscalização

A Controladora pode consultar o registro de auditoria no sistema e pedir informações razoáveis para verificar o cumprimento deste acordo. A Operadora responderá em prazo razoável, preservando a segurança e a confidencialidade de outras clínicas.

10. Término

Ao fim da contratação, a Controladora pode pedir uma cópia dos seus dados em até 90 dias. Depois disso, a Operadora elimina ou anonimiza os dados, exceto aqueles que precise guardar por obrigação legal, que continuarão protegidos por este acordo pelo tempo necessário.

11. Responsabilidade

Cada parte responde pelos danos que causar por descumprir a LGPD ou este acordo, nos termos do artigo 42 da lei, observadas as limitações previstas nos Termos de Uso no que a lei permitir.