Acordo de Processamento de Dados (DPA)

Este Acordo de Processamento de Dados ("DPA") integra e complementa os Termos de Uso e a Política de Privacidade do Prontuu, regulando o tratamento de dados pessoais realizado pelo Operador em nome do Controlador. Em caso de conflito, prevalecem as cláusulas deste DPA quanto à matéria de proteção de dados.

1. Partes

Controlador: a pessoa física ou jurídica usuária do Prontuu — profissional de saúde, clínica, consultório ou estabelecimento de saúde — qualificada no cadastro da plataforma e responsável pelas decisões sobre o tratamento dos dados pessoais de seus pacientes, colaboradores e demais titulares.

Operador: Prontuu Healthtech Desenvolvimento e Licenciamento de Software Ltda., inscrita no CNPJ 66.410.253/0001-41, com sede em Rua Santa Patrícia, 228 — Jardim Oriental, São Paulo/SP — CEP 04347-040("Prontuu"), responsável pela operação técnica da plataforma e pelo tratamento dos dados estritamente conforme as instruções do Controlador.

Encarregado pelo Tratamento de Dados (DPO) do Operador: Rafael Akira Tanaka — dpo@prontuu.com.br.

2. Definições

Os termos "dado pessoal", "dado pessoal sensível", "titular", "tratamento", "controlador", "operador", "encarregado", "incidente de segurança" e "transferência internacional" têm o significado a eles atribuído pela Lei nº 13.709/2018 (LGPD).

3. Objeto e finalidade do tratamento

O Operador tratará dados pessoais exclusivamente para:

• Prestar os serviços de gestão clínica, prontuário eletrônico, agenda, financeiro, telemedicina, prescrição, faturamento e demais módulos contratados;
• Garantir a segurança da plataforma, prevenir fraudes e atender obrigações legais;
• Prestar suporte técnico ao Controlador;
• Cumprir solicitações específicas do Controlador relacionadas aos dados.

O Operador não tratará os dados para finalidades próprias, marketing direcionado a titulares, treinamento de modelos de IA próprios ou de terceiros, nem comercializará dados.

4. Duração

Este DPA vigora enquanto houver contrato de prestação de serviços entre as Partes e durante o período adicional necessário para devolução, eliminação ou retenção legal dos dados, conforme a Cláusula 11.

5. Natureza e categorias dos dados tratados

Dados pessoais comuns:

• Identificação: nome, CPF, RG, data de nascimento, sexo, estado civil, profissão
• Contato: telefone, e-mail, endereço
• Dados financeiros e contratuais relacionados a atendimentos
• Identificação de responsável legal, quando aplicável
• Logs técnicos: IP, navegador, registros de acesso

Dados pessoais sensíveis (art. 5º, II, LGPD):

• Dados referentes à saúde: anamneses, histórico clínico, diagnósticos (CID-10), prescrições, exames, evoluções, atestados, laudos, imagens médicas e demais documentos clínicos
• Eventualmente, dados biométricos quando o Controlador habilitar autenticação por biometria

O tratamento de dados sensíveis de saúde tem fundamento no art. 11, II, "f" da LGPD (tutela da saúde por profissionais habilitados) e na execução do contrato com o Controlador.

6. Titulares dos dados

• Pacientes atendidos ou cadastrados pelo Controlador
• Responsáveis legais e contatos de emergência informados
• Profissionais de saúde, secretárias, recepcionistas e demais colaboradores cadastrados pelo Controlador na plataforma
• Leads e contatos comerciais inseridos pelo Controlador, quando aplicável

7. Obrigações do Operador

O Operador compromete-se a:

1. Tratar os dados estritamente conforme as instruções documentadas do Controlador, salvo obrigação legal em contrário, hipótese em que informará previamente o Controlador, salvo proibição legal;
2. Garantir que toda pessoa autorizada a tratar os dados se obrigue à confidencialidade ou esteja sujeita a dever legal de sigilo;
3. Adotar medidas técnicas e organizacionais adequadas (art. 46, LGPD), incluindo, sem prejuízo de outras: criptografia em trânsito (TLS 1.2+) e em repouso (AES-256), controle de acesso por papel (RBAC), autenticação multifator para acesso administrativo, segregação por tenant, registro de auditoria, backups redundantes e testes periódicos de segurança;
4. Auxiliar o Controlador, na medida do possível, no atendimento aos direitos dos titulares (art. 18, LGPD), por meio das funcionalidades da plataforma e, quando necessário, por canal direto com o DPO do Operador;
5. Notificar o Controlador sobre incidentes de segurança que possam acarretar risco ou dano relevante aos titulares em prazo razoável, não superior a 72 (setenta e duas) horas contados da ciência do incidente, contendo as informações exigidas pelo art. 48, §1º da LGPD na medida em que disponíveis;
6. Auxiliar o Controlador no cumprimento das obrigações dos arts. 38 e 48 da LGPD (relatórios de impacto e comunicação de incidentes à ANPD/titulares);
7. Manter registros das operações de tratamento realizadas (art. 37, LGPD);
8. Submeter-se a auditorias razoáveis solicitadas pelo Controlador, observado prazo de pré-aviso de 30 (trinta) dias, frequência máxima anual e custos proporcionais quando excederem a oferta padrão de relatórios e certificações apresentadas pelo Operador;
9. Ao término do contrato, conforme Cláusula 11, devolver ou eliminar os dados pessoais nos termos solicitados pelo Controlador, ressalvada a guarda obrigatória por força de lei.

8. Obrigações do Controlador

• Possuir base legal adequada para o tratamento dos dados que insere na plataforma;
• Obter consentimentos e fornecer informações aos titulares quando exigido por lei;
• Cumprir as normas do CFM, conselhos profissionais e demais regulamentações aplicáveis ao seu exercício profissional;
• Manter confidencialidade de credenciais e adotar boas práticas de segurança;
• Atender, em primeira instância, as requisições dos titulares de dados de seus pacientes e colaboradores.

9. Suboperadores autorizados

O Controlador autoriza o Operador a contratar suboperadores ("Subcontratados") para a prestação de partes dos serviços, desde que o Operador imponha contratualmente a esses terceiros obrigações equivalentes às deste DPA. A lista atual é:

O Operador notificará o Controlador, com antecedência mínima de 30 (trinta) dias, sobre alteração ou inclusão de novos Subcontratados que tratem dados pessoais. O Controlador poderá, em prazo razoável e por motivo fundado relacionado à proteção de dados, opor-se à alteração; havendo objeção não sanável, o contrato poderá ser rescindido pelo Controlador sem penalidade.

10. Transferência internacional

Os dados pessoais são armazenados preferencialmente em data centers localizados no Brasil (AWS sa-east-1 — São Paulo). Eventuais transferências internacionais ocorrem para os Subcontratados indicados na Cláusula 9 e baseiam-se nas seguintes salvaguardas (art. 33, LGPD):

• Cláusulas contratuais padrão com obrigações equivalentes às da LGPD;
• Compromissos de confidencialidade e segurança técnica/organizacional dos Subcontratados;
• Quando aplicável, certificações reconhecidas internacionalmente (ISO 27001, SOC 2);
• Adesão dos provedores a programas como o EU-US Data Privacy Framework, quando pertinente.

11. Devolução, eliminação e retenção

Ao término do contrato:

• O Controlador poderá exportar seus dados em formatos estruturados durante o período de contrato e por até 90 dias após o encerramento;
• Após o período de retenção, os dados serão eliminados ou anonimizados de forma segura, ressalvados os casos de guarda obrigatória por lei (ex.: prontuário por 20 anos — Resolução CFM nº 1.821/2007; documentos fiscais por 5 anos; logs por 6 meses — Marco Civil da Internet);
• Os dados retidos por obrigação legal serão armazenados em ambiente segregado e tratados apenas para o cumprimento da obrigação correspondente.

12. Confidencialidade e responsabilidade

Cada Parte responde por suas obrigações nos termos da LGPD e do contrato principal. As Partes obrigam-se a manter sigilo sobre as informações a que tiverem acesso em razão deste DPA. A responsabilidade do Operador observa os limites estabelecidos nos Termos de Uso, ressalvadas as hipóteses em que a lei vedar tal limitação.

13. Disposições finais

• Este DPA prevalece sobre disposições conflitantes em outros instrumentos celebrados entre as Partes apenas no que tange à proteção de dados pessoais;
• Alterações materiais serão comunicadas com antecedência mínima de 30 dias por e-mail e aviso na plataforma; o uso continuado após a vigência implica aceitação;
• O aceite eletrônico realizado pelo Controlador no momento da contratação ou da renovação do plano constitui assinatura válida deste DPA, conforme art. 10, §2º, da MP 2.200-2/2001 e art. 219 do Código Civil;
• Aplica-se a legislação brasileira. Fica eleito o foro da Comarca de São Paulo/SP, com renúncia a qualquer outro, ressalvado o direito do Controlador pessoa física consumidora optar pelo foro de seu domicílio.