Acordo de Tratamento de Dados

Por que este acordo existe

Quando uma clínica usa a plataforma, dados de pacientes passam por ela. A clínica é a Controladora desses dados; nós somosOperadores, tratando em nome dela e conforme instruções contratuais.

O acordo de tratamento de dados é o documento que registra exatamente isso — e é ele que define o que podemos e o que não podemos fazer com a base da sua clínica. Ele é anexo do contrato de prestação de serviço, não substituto.

O que ele cobre

1. Papéis e responsabilidades

Quem é Controlador, quem é Operador e quais são os subprocessadores autorizados. Define quem responde perante o titular e em que hipótese há responsabilidade solidária.

2. Objeto, finalidade e duração

Que categorias de dado são tratadas, para quais finalidades, por quanto tempo e o que acontece ao fim do contrato. Tratamento fora da finalidade acordada é vedado — inclusive por nós.

3. Instruções de tratamento

Nós tratamos apenas conforme as instruções documentadas da clínica. Se uma instrução parecer violar a lei, temos o dever de apontar isso antes de executar.

4. Subprocessadores

A lista nominal de fornecedores que tocam o dado — hospedagem, infraestrutura, provedor de modelo de linguagem, mensageria — com o dever de comunicar previamente qualquer mudança e a possibilidade de a clínica se opor.

5. Medidas de segurança

As medidas técnicas reais, não genéricas: isolamento por cliente imposto no banco com política obrigatória que a aplicação não contorna, mascaramento de identificadores antes de qualquer processamento por IA, criptografia em trânsito, controle de acesso por papel, trilha de auditoria e separação física entre produção e testes.

6. Incidentes

O que caracteriza incidente, em que prazo comunicamos a clínica, que informação entregamos e como apoiamos a comunicação à autoridade e aos titulares quando for o caso.

7. Direitos dos titulares

Como apoiamos a clínica a responder pedidos de acesso, correção, portabilidade e eliminação — inclusive os prazos em que devolvemos o que for solicitado.

8. Transferência internacional

Quais fornecedores processam dados fora do Brasil e sob que salvaguardas contratuais. É um ponto que exige transparência, e não algo a ser escondido numa nota de rodapé.

9. Auditoria

O direito da clínica de verificar o cumprimento do acordo, e em que formato e periodicidade isso acontece.

10. Eliminação ao término

Ao fim do contrato, os dados são disponibilizados para exportação e depois eliminados, no prazo definido. A clínica leva a base dela — ela sempre foi dela.

Como receber o documento

O acordo completo é enviado sob solicitação, antes de qualquer assinatura — justamente para o seu jurídico avaliar com calma. No nicho de saúde, fornecedor que só mostra o contrato depois do “sim” custa semanas de revisão que poderiam ter acontecido em paralelo.

Peça por privacidade@smartclinicengine.com.brou fale com a gente.

O que este acordo não é

• Não é o contrato de prestação de serviço. Escopo, prazo, preço e limitação de responsabilidade vivem lá.
• Não transfere a responsabilidade da clínica. Ela continua sendo a Controladora perante o paciente, e precisa de base legal própria para o tratamento.
• Não cobre dado clínico estruturado. A plataforma não armazena evolução clínica, anamnese nem receituário — e isso é decisão de arquitetura, não limitação temporária.