Documento legal
Acordo de Tratamento de Dados Pessoais
Este acordo integra o Contrato de Licença de Uso do CortexClin e regula o tratamento de dados pessoais que Cortexclin Tecnologia Desenvolvimento de Software Customizavel LTDA, inscrita no CNPJ sob o nº 69.853.977/0001-58, com sede na Rua Pais Leme, 215, Conj. 1713, Pinheiros, São Paulo/SP, CEP 05424-150 («Operadora») realiza em nome da clínica contratante («Controladora»), nos termos da Lei nº 13.709/2018 (LGPD).
1. Papéis
Em relação aos dados de pacientes, responsáveis, leads e demais contatos que a Controladora cadastra ou recebe pelo sistema, a Controladora decide as finalidades e os meios do tratamento, e a Operadora o realiza em nome dela. Os dados das contas de usuário, da contratação e de navegação no site são tratados pela Operadora como controladora, conforme a Política de Privacidade.
2. Objeto, natureza e duração
- Finalidade: prestar o serviço contratado — agenda, prontuário, financeiro, orçamentos, contratos e assinatura eletrônica, receituário, atendimento por mensagens, emissão de NFS-e, mídia indoor e recursos de inteligência artificial.
- Operações: coleta pelas telas e integrações, armazenamento, organização, consulta, transmissão aos destinatários escolhidos pela Controladora, backup, exportação e eliminação.
- Duração: a vigência do contrato, mais o prazo de exportação da cláusula 10.
3. Titulares e categorias de dados
- Titulares: pacientes e seus responsáveis legais ou financeiros, leads e contatos, profissionais e funcionários da Controladora.
- Dados cadastrais e de contato: nome, CPF, RG, data de nascimento, sexo, endereço, telefone, e-mail.
- Dados pessoais sensíveis de saúde (art. 11): anamnese, prontuário, odontograma, prescrições, exames, fotos clínicas, alertas clínicos e documentos assinados.
- Dados financeiros: orçamentos, vendas, parcelas, pagamentos e notas fiscais.
- Comunicações: mensagens, áudios e mídias trocadas pelo WhatsApp e pelo Instagram da Controladora.
- Evidências de assinatura: IP, navegador, geolocalização quando autorizada, foto e rubrica colhidas no ato.
4. Instruções da Controladora
A Operadora trata os dados somente conforme as instruções documentadas da Controladora, que são as configurações e os comandos que ela realiza no sistema, este acordo e o contrato. Se considerar uma instrução contrária à LGPD, a Operadora informará a Controladora. A Operadora não usa os dados para finalidade própria, não os vende e não os usa para treinar modelos de inteligência artificial.
5. Segurança
A Operadora mantém, entre outras, as seguintes medidas técnicas e administrativas (art. 46):
- comunicação cifrada (TLS) entre navegador, aplicativos e servidores;
- cifragem em repouso (AES-256-GCM) de campos sensíveis como CPF, data de nascimento, certificados digitais e credenciais de integrações;
- isolamento lógico entre clientes na aplicação: toda consulta é filtrada pela organização do usuário autenticado, e o acesso a unidades é conferido a cada requisição;
- controle de acesso por papéis e permissões configuráveis, verificação em duas etapas, bloqueio por inatividade e prazo máximo de sessão;
- trilha de auditoria imutável das ações relevantes;
- backups periódicos e acesso administrativo restrito à equipe técnica, com dever de sigilo;
- remoção do CPF do texto enviado aos provedores de inteligência artificial.
Todas as pessoas autorizadas pela Operadora a tratar os dados estão sujeitas a dever de confidencialidade. O acesso da equipe de suporte aos dados da Controladora ocorre apenas para atender pedido dela ou corrigir falha, e é registrado.
6. Suboperadores
A Controladora autoriza a Operadora a contratar os suboperadores abaixo, que assumem obrigações de proteção de dados compatíveis com este acordo. A inclusão de novo suboperador é comunicada com 15 dias de antecedência; a Controladora pode se opor por motivo fundamentado e, não havendo solução, encerrar o contrato sem ônus.
| Suboperador | Finalidade | Localização | Quando |
|---|---|---|---|
| Vultr Holdings | Servidores, banco de dados, armazenamento de arquivos e backups | Brasil (São Paulo) | Sempre |
| Brevo (Sendinblue) | Envio de e-mails transacionais | União Europeia | Sempre |
| OpenRouter, com os modelos que ele roteia (Anthropic, Google, OpenAI) | Recursos de inteligência artificial (atendimento automático, transcrição de áudio, redação de documentos, análise de exames, simulação de fotos) | Estados Unidos | Quando o Cliente usa o recurso |
| Meta Platforms (WhatsApp Business, Instagram) | Envio e recebimento de mensagens nos números e contas do Cliente | Estados Unidos | Quando o Cliente conecta a conta |
| Expo (650 Industries), com os serviços de notificação da Apple e do Google | Entrega das notificações do aplicativo móvel à equipe do Cliente (podem trazer nome do paciente e horário da consulta) | Estados Unidos | Quando a equipe usa o aplicativo móvel |
| Google LLC | Contatos, Perfil da Empresa e conversões do Google Ads, nas contas do Cliente | Estados Unidos | Quando o Cliente conecta a conta |
| DigiCert | Carimbo de tempo de documentos assinados (recebe só o resumo criptográfico, nunca o conteúdo) | Estados Unidos | Na assinatura eletrônica |
Instituições de pagamento, emissores de NFS-e, provedores de assinatura eletrônica e de certificado digital, e provedores de inteligência artificial com chave própria, contratados diretamente pela Controladora, não são suboperadores da Operadora: a relação é da Controladora com eles.
7. Transferência internacional
Os suboperadores localizados fora do Brasil recebem dados com as garantias do art. 33 da LGPD, como cláusulas contratuais de proteção de dados. Os provedores de inteligência artificial são usados com a opção de não retenção e não treinamento com os dados enviados.
8. Direitos dos titulares
O sistema oferece à Controladora ferramentas para atender os direitos do art. 18 (acesso, correção, exportação, anonimização, eliminação e oposição a comunicações). Pedido de titular recebido pela Operadora é encaminhado à Controladora em até 5 dias úteis, sem resposta direta ao titular, salvo instrução dela.
9. Incidentes de segurança
A Operadora comunicará à Controladora, em até 48 horas após tomar conhecimento, qualquer incidente de segurança que envolva os dados dela, com a natureza dos dados afetados, os titulares envolvidos, as medidas adotadas e os riscos, para que a Controladora avalie a comunicação à ANPD e aos titulares (art. 48). A Operadora coopera com a Controladora nessa comunicação.
10. Término: devolução e eliminação
Encerrado o contrato, a Controladora tem 30 dias para exportar seus dados. Depois disso, a Operadora elimina ou anonimiza os dados, inclusive das cópias de segurança no ciclo regular delas, ressalvado o que a lei a obrigue a guardar (registros de acesso por 6 meses, registros fiscais). A guarda de prontuários pelo prazo legal é obrigação da Controladora, que deve exportá-los nesse prazo.
11. Auditoria e cooperação
A Operadora fornece à Controladora, mediante pedido escrito, as informações necessárias para demonstrar o cumprimento deste acordo, e coopera em relatórios de impacto à proteção de dados e em pedidos da ANPD. Auditoria presencial, quando indispensável, é agendada com 30 dias de antecedência, em horário comercial, às custas da Controladora e sob compromisso de confidencialidade.
12. Responsabilidade e contato
Cada parte responde pelos danos que causar ao descumprir a LGPD ou este acordo, nos termos dos arts. 42 a 45 da LGPD, aplicando-se no mais a limitação de responsabilidade do Contrato. Encarregado da Operadora: Jean Augusto — privacidade@cortexclin.com.br.