Contrato de Tratamento de Dados (DPA)

1. Objeto e papéis

A clínica é a controladora dos dados de seus pacientes e leads. A agência trata esses dados como operadora, por conta da clínica. A plataforma trata os dados como suboperadora, exclusivamente para prestar os serviços contratados pela agência.

A agência declara que tem contrato com cada clínica autorizando esse tratamento e a subcontratação da plataforma.

2. Instruções

• A plataforma trata os dados apenas conforme as instruções da agência, dadas pelo uso da própria plataforma (cadastros, aprovações, agendamentos e configurações) e por escrito.
• A plataforma não usa os dados para finalidades próprias, não os vende e não os usa para treinar modelos de inteligência artificial.

3. Confidencialidade e segurança

• Acesso restrito às pessoas que precisam dos dados para operar e dar suporte, com dever de sigilo.
• Isolamento dos dados por agência, criptografia em trânsito, criptografia dos tokens de integração, controle de acesso por perfil, registro de ações administrativas e backups.

4. Suboperadores

A agência autoriza a plataforma a usar os suboperadores listados na Política de Privacidade (inteligência artificial, envio de e-mail e WhatsApp, hospedagem, banco de dados e armazenamento). A plataforma avisa a agência sobre a inclusão de novos suboperadores com antecedência razoável, e a agência pode se opor de forma justificada.

5. Direitos dos titulares

A plataforma oferece meios para a agência e a clínica localizar, corrigir, exportar e excluir dados e registra automaticamente os pedidos de descadastro de mensagens. Pedidos recebidos diretamente pela plataforma são encaminhados à agência.

6. Incidentes de segurança

A plataforma avisa a agência sobre incidente que possa causar risco ou dano relevante aos titulares assim que tomar conhecimento, com as informações disponíveis, para que a clínica possa comunicar a Autoridade Nacional de Proteção de Dados e os titulares nos prazos da regulamentação.

7. Transferência internacional

Quando um suboperador estiver fora do Brasil, a transferência segue o capítulo V da LGPD, com cláusulas contratuais e garantias de proteção adequadas.

8. Fim do tratamento

Ao fim do contrato, a agência pode exportar os dados em até 30 dias. Depois desse prazo, a plataforma exclui os dados, salvo obrigação legal de guarda, e confirma a exclusão quando solicitado.

9. Auditoria e responsabilidade

A plataforma fornece as informações necessárias para demonstrar o cumprimento deste contrato, mediante pedido por escrito com antecedência razoável. Cada parte responde pelos danos que causar por descumprir a LGPD ou este contrato, nos limites dos Termos de Uso.