Anexo de Tratamento de Dados Pessoais (LGPD · Brasil)

ANEXO DE TRATAMENTO DE DADOS PESSOAIS — LGPD (LEI 13.709 · BRASIL) Entre a clínica titular da conta (a "Controladora") e AgendaMED (a "Operadora"). 1. PAPÉIS. A Controladora decide as finalidades e os meios do tratamento dos dados dos seus pacientes. A Operadora trata esses dados exclusivamente por conta e sob instruções da Controladora, para prestar o serviço. 2. DADOS E TITULARES. Identificação e contato de pacientes, dados de agenda, DADOS DE SAÚDE (categoria sensível — art. 5º, II) do prontuário, dados de pagamento quando ativados, e conversas dos canais conectados. Titulares: pacientes e equipe da clínica. 3. OBRIGAÇÕES DA OPERADORA. (a) Tratar os dados somente conforme instruções documentadas (art. 39); (b) confidencialidade da equipe e acessos do provedor auditados; (c) medidas de segurança (art. 46): MFA obrigatório, criptografia em trânsito e de segredos em repouso, isolamento por clínica (RLS), auditoria imutável (WORM) de leituras de prontuário e exportações, privilégio mínimo; (d) comunicar à Controladora os incidentes de segurança sem demora indevida (objetivo 72 horas), com as informações necessárias para os deveres dela perante a ANPD e os titulares (art. 48); (e) auxiliar a Controladora no atendimento dos direitos dos titulares (art. 18) com as ferramentas da plataforma: acesso/portabilidade, correção, eliminação/anonimização, bloqueio e registro de solicitações com prazo de 15 dias; (f) devolução ou eliminação dos dados ao término do serviço, salvo obrigação legal de conservação. 4. SUBOPERADORES. Google Cloud (hospedagem), Resend (e-mail), Stripe (pagamentos), Meta (mensageria) e o provedor LLM do assistente, todos sob contratos com garantias equivalentes. Mudanças serão informadas com antecedência razoável. 5. TRANSFERÊNCIAS INTERNACIONAIS. Os dados são hospedados no Google Cloud (EUA), amparados nas cláusulas contratuais do Data Processing Addendum do Google Cloud (art. 33, IX) e neste anexo. 6. OBRIGAÇÕES DA CONTROLADORA. Contar com base legal (consentimento específico para dados de saúde ou outra hipótese do art. 11), manter sua política de privacidade para pacientes e responder às solicitações de direitos no prazo.