Acordo de Tratamento de Dados

1. Partes e papéis

• Controladora: a profissional titular da conta, que decide sobre o tratamento dos dados dos seus pacientes.
• Operador: [NOME / RAZÃO SOCIAL DO MEI], CNPJ [CNPJ], que opera o HarmonIsa e trata esses dados em nome da controladora.

2. O tratamento

3. Instruções

O operador trata os dados apenas conforme as instruções da controladora. O uso das funções da plataforma — cadastrar, gerar um relatório, agendar um lembrete — é a instrução. O operador não usa os dados para finalidade própria, não os vende, não os usa para publicidade nem para treinar modelos de inteligência artificial. Se considerar uma instrução contrária à lei, o operador avisa a controladora.

4. Obrigações do operador

• Sigilo: só pessoas autorizadas e sujeitas a confidencialidade têm acesso técnico à infraestrutura, e apenas na medida necessária.
• Segurança: manter as medidas descritas na Política de Privacidade, seção 5, e não reduzi-las sem aviso prévio.
• Incidentes: avisar a controladora sem demora, e em até 48 horas depois de confirmar o incidente, com a natureza dos dados afetados, os titulares envolvidos, as medidas tomadas e os riscos identificados, complementando as informações conforme a apuração avançar.
• Apoio: auxiliar a controladora a atender pedidos dos titulares, a elaborar relatório de impacto e a responder à ANPD, dentro do que for tecnicamente possível.
• Registro: manter registro das operações de tratamento que realiza.

5. Limite técnico declarado

A identificação dos pacientes é cifrada no navegador da controladora com uma chave que o operador não possui. Por isso o operador não consegue ler nomes, CPFs ou anexos, localizar um paciente pelo nome ou recuperar esses dados se a controladora perder a senha e a chave de recuperação. Pedidos que dependam da identificação são atendidos pela própria controladora, no app. Esse limite é intencional e faz parte da proteção contratada.

6. Obrigações da controladora

• Ter base legal para o tratamento e informar os titulares sobre o uso da plataforma;
• Registrar a autorização dos responsáveis legais de pacientes menores e tratar esses dados no melhor interesse deles;
• Manter os dados exatos e inserir apenas o necessário;
• Guardar suas credenciais e sua chave de recuperação;
• Comunicar à ANPD e aos titulares os incidentes que exijam comunicação.

7. Suboperadores

A controladora autoriza o uso dos suboperadores listados na Política de Privacidade, seção 6. O operador exige deles obrigações de proteção compatíveis com este acordo e responde por eles perante a controladora. A inclusão ou troca de suboperador é avisada com pelo menos 15 dias de antecedência. Se discordar, a controladora pode encerrar o contrato e exportar seus dados antes da mudança.

8. Transferência internacional

Parte dos suboperadores fica fora do Brasil. A transferência segue o art. 33 da LGPD, com base em [cláusulas-padrão contratuais da Resolução CD/ANPD nº 19/2024 — formalizar], e com as reduções descritas na Política de Privacidade, seção 7.

9. Pedidos dos titulares

Se um paciente ou responsável procurar o operador diretamente, o pedido é encaminhado à controladora em até 5 dias úteis, e o operador não responde ao titular por conta própria, salvo obrigação legal.

10. Fim do contrato

Após o cancelamento, os dados ficam disponíveis para exportação por [PRAZO]. Depois disso — ou imediatamente, se a controladora excluir a conta — a chave da identificação é destruída, e o restante segue a Política de Privacidade, seção 8, ressalvadas as obrigações legais de guarda.

11. Verificação

Mediante solicitação razoável, o operador fornece à controladora as informações necessárias para demonstrar o cumprimento deste acordo, como descrição das medidas de segurança e lista atualizada de suboperadores.

12. Responsabilidade e prevalência

Cada parte responde pelos danos que causar, nos termos dos arts. 42 a 45 da LGPD. Em conflito entre este acordo e os Termos de Uso quanto aos dados dos pacientes, prevalece este acordo.