Acordo de Processamento de Dados

1. Partes do Acordo

Este Acordo de Processamento de Dados ("DPA") é celebrado entre:

Controlador

A pessoa jurídica ou profissional de saúde que contratou os serviços do ClinicApp ("Cliente" ou "Controlador"), responsável pelas decisões referentes ao tratamento dos dados pessoais de seus pacientes e colaboradores.

Operador

ClinicApp, sistema de gestão clínica disponibilizado em meuclinicapp.com.br, operado por seu desenvolvedor responsável, com e-mail de contato privacidade@meuclinicapp.com.br ("ClinicApp" ou "Operador").

2. Definições

Para fins deste DPA, aplicam-se as definições da LGPD (Lei nº 13.709/2018) e as seguintes:

• Dado Pessoal: qualquer informação relacionada a pessoa natural identificada ou identificável.
• Dado Pessoal Sensível: dado sobre saúde, origem étnica, religião, opinião política, filiação sindical, dado genético ou biométrico, vida sexual ou dado de criança.
• Tratamento: toda operação realizada com dados pessoais (coleta, produção, recepção, classificação, utilização, acesso, reprodução, transmissão, distribuição, processamento, arquivamento, armazenamento, eliminação, avaliação, controle, modificação, comunicação, transferência, difusão ou extração).
• Controlador: pessoa natural ou jurídica que toma as decisões referentes ao tratamento de dados pessoais.
• Operador: pessoa natural ou jurídica que realiza o tratamento de dados pessoais em nome do controlador.
• Titular: pessoa natural a quem se referem os dados pessoais objeto de tratamento.
• ANPD: Autoridade Nacional de Proteção de Dados.
• Encarregado (DPO): pessoa indicada pelo operador para atuar como canal de comunicação entre o operador, os titulares e a ANPD.

3. Objeto e Escopo do Tratamento

O ClinicApp realiza o tratamento de dados pessoais em nome do Controlador para as seguintes finalidades:

• Gestão de agenda e consultas médicas/terapêuticas
• Armazenamento e gestão de prontuários eletrônicos
• Envio de lembretes e confirmações via WhatsApp
• Controle financeiro da clínica (receitas e despesas)
• Gestão de fila de espera
• Cobrança e pagamentos (via integração Asaas)
• Notificações internas e comunicações operacionais

O tratamento é realizado estritamente conforme as instruções do Controlador e para as finalidades acima, não sendo utilizados para qualquer outro fim.

4. Bases Legais do Tratamento

O tratamento de dados pelo ClinicApp, em nome do Controlador, fundamenta-se nas seguintes bases legais previstas na LGPD:

5. Categorias de Dados Tratados

5.1 Dados dos Pacientes (Titulares)

5.2 Dados dos Usuários da Plataforma (Clínica)

• Nome, e-mail e senha (hash bcrypt) dos profissionais cadastrados
• Logs de acesso e auditoria (IP, user-agent, ações realizadas)
• Dados da clínica (nome, CNPJ, endereço, configurações)

6. Obrigações do Operador (ClinicApp)

O ClinicApp, na qualidade de Operador, compromete-se a:

• Tratar os dados pessoais apenas conforme as instruções documentadas do Controlador e para as finalidades previstas neste DPA
• Garantir que os colaboradores e sistemas com acesso aos dados estejam sujeitos a obrigações de confidencialidade
• Implementar e manter medidas técnicas e organizacionais adequadas para proteger os dados pessoais
• Notificar o Controlador, no prazo máximo de 72 horas, sobre qualquer incidente de segurança que possa afetar os dados pessoais
• Auxiliar o Controlador no atendimento às solicitações dos titulares de dados
• Disponibilizar todas as informações necessárias para demonstrar conformidade com a LGPD
• Excluir ou devolver todos os dados pessoais ao término da prestação dos serviços
• Não subcontratar operações de tratamento de dados sem autorização prévia do Controlador, exceto suboperadores listados neste DPA

7. Obrigações do Controlador (Clínica)

O Controlador, na qualidade de responsável pelo tratamento, compromete-se a:

• Coletar o consentimento dos pacientes para o tratamento de dados de saúde, quando exigido pela LGPD
• Informar os pacientes sobre o uso do ClinicApp para gestão de suas informações
• Garantir que os profissionais da clínica utilizem a plataforma em conformidade com a LGPD
• Comunicar ao ClinicApp qualquer solicitação de titular que exija ação do Operador
• Responsabilizar-se pela legalidade dos dados inseridos na plataforma
• Manter credenciais de acesso em segurança e não as compartilhar de forma indevida

8. Suboperadores e Terceiros

O ClinicApp utiliza os seguintes suboperadores autorizados para a prestação dos serviços:

Todos os suboperadores foram avaliados quanto às suas políticas de privacidade e segurança. O ClinicApp se compromete a notificar o Controlador sobre qualquer alteração relevante nos suboperadores utilizados.

9. Medidas de Segurança

O ClinicApp implementa as seguintes medidas técnicas e organizacionais para proteção dos dados:

9.1 Criptografia

• Dados sensíveis (e-mail, data de nascimento, anotações clínicas, prontuários) criptografados em repouso com AES-256-GCM
• Senhas armazenadas com hash bcrypt (fator de custo 12)
• Comunicações protegidas por TLS 1.3 (HTTPS)

9.2 Controle de Acesso

• Autenticação por JWT com expiração configurada
• Controle de acesso baseado em papéis (RBAC): owner, profissional, recepcionista
• Isolamento multi-tenant: cada clínica acessa exclusivamente seus próprios dados

9.3 Auditoria

• Log de auditoria completo de todas as operações sobre dados de pacientes e prontuários
• Registro de IP, user-agent, usuário, ação e timestamp em cada operação

9.4 Backup

• Backup automático semanal do banco de dados para armazenamento seguro no Supabase Storage
• Retenção de backups por 28 dias

10. Incidentes de Segurança

Em caso de incidente de segurança que envolva dados pessoais, o ClinicApp adotará o seguinte procedimento:

1. Detecção e contenção: identificação imediata e isolamento do incidente
2. Notificação ao Controlador: comunicação em até 72 horas após a ciência do incidente, com descrição dos dados afetados, natureza do incidente, medidas adotadas e recomendações
3. Notificação à ANPD: quando exigido pela LGPD (art. 48), o ClinicApp auxiliará o Controlador na comunicação à ANPD e aos titulares afetados
4. Remediação: adoção de medidas corretivas e preventivas
5. Relatório final: documentação completa do incidente e das ações tomadas

Para reportar um incidente ou vulnerabilidade: privacidade@meuclinicapp.com.br

11. Direitos dos Titulares

Os titulares dos dados (pacientes) têm os seguintes direitos garantidos pela LGPD, que podem ser exercidos junto ao Controlador (clínica) ou diretamente ao ClinicApp:

• Confirmação: saber se há tratamento de seus dados
• Acesso: obter cópia dos dados pessoais tratados
• Correção: corrigir dados incompletos, inexatos ou desatualizados
• Anonimização, bloqueio ou eliminação: de dados desnecessários, excessivos ou tratados em desconformidade
• Portabilidade: receber os dados em formato estruturado e interoperável
• Eliminação: solicitar a exclusão dos dados tratados com base no consentimento
• Revogação do consentimento: a qualquer momento, de forma gratuita e facilitada
• Informação: sobre com quais entidades os dados foram compartilhados
• Revisão: de decisões automatizadas

Para exercer esses direitos: privacidade@meuclinicapp.com.br

12. Transferência Internacional de Dados

Alguns suboperadores listados na cláusula 8 estão sediados nos Estados Unidos. A transferência internacional de dados para esses suboperadores é realizada com base em:

• Cláusulas contratuais padrão de proteção de dados
• Políticas corporativas dos suboperadores aprovadas por autoridades de proteção de dados
• Necessidade para execução do contrato de prestação de serviços (art. 33, V, LGPD)

O ClinicApp garante que todos os suboperadores internacionais adotam nível adequado de proteção de dados, compatível com a LGPD.

13. Retenção e Exclusão de Dados

13.1 Prazos de Retenção

13.2 Exclusão ao Término do Contrato

Após o encerramento da conta, o Controlador terá 30 dias para exportar todos os seus dados. Após esse prazo, os dados serão anonimizados ou excluídos, exceto aqueles que devam ser retidos por obrigação legal.

14. Auditoria e Conformidade

O ClinicApp se compromete a:

• Disponibilizar, mediante solicitação fundamentada, informações e documentos que demonstrem conformidade com este DPA e com a LGPD
• Cooperar com auditorias realizadas pelo Controlador ou por terceiro por ele designado, mediante aviso prévio de 15 dias úteis
• Manter documentação atualizada sobre as operações de tratamento realizadas
• Revisar e atualizar este DPA anualmente ou sempre que houver alterações relevantes nas operações de tratamento

15. Vigência e Rescisão

Este DPA entra em vigor na data de aceitação dos Termos de Uso do ClinicApp e permanece válido enquanto houver relação contratual entre as partes.

O DPA será automaticamente rescindido em caso de encerramento da conta ou término do contrato de prestação de serviços, observados os prazos de retenção de dados previstos na cláusula 13.

O ClinicApp reserva-se o direito de atualizar este DPA para refletir mudanças na legislação ou nas operações de tratamento, notificando o Controlador com antecedência mínima de 30 dias.

16. Contato e Encarregado (DPO)

Para questões relacionadas a este DPA, proteção de dados ou exercício de direitos dos titulares: