Contrato de Tratamento de Dados Pessoais
Este contrato é celebrado entre a clínica ou profissional que cria uma conta no Lumaclin (a «Controladora») e [RAZÃO SOCIAL], CNPJ [CNPJ] (a «Operadora»). Ele é aceito no cadastro, com registro da data e da versão, e faz parte dos Termos de Uso.
1. Objeto
A Operadora trata dados pessoais em nome da Controladora com a única finalidade de prestar o serviço Lumaclin: guardar e organizar agenda, pacientes, prontuário, odontograma, financeiro e cobranças da clínica. O tratamento inclui coleta, armazenamento, consulta, alteração, exportação e eliminação dos dados que a Controladora cadastra.
2. Dados e titulares
| Titulares | Dados |
|---|---|
| Pacientes da clínica | Identificação (nome, CPF, data de nascimento), contato (telefone, e-mail), convênio, consultas, valores e parcelas, e dados pessoais sensíveis de saúde (prontuário, odontograma, alergias, tipo sanguíneo, receitas), nos termos do art. 5º, II, e do art. 11 da LGPD. |
| Profissionais e equipe da clínica | Nome, especialidade, registro no conselho, valores de consulta, e-mail e atividade no sistema. |
3. Obrigações da Controladora
- Ter base legal para tratar os dados dos pacientes, como a tutela da saúde (art. 11, II, «f», da LGPD), e informar os pacientes sobre o tratamento.
- Cadastrar apenas os dados necessários e mantê-los corretos.
- Atender os pedidos dos pacientes (art. 18 da LGPD), usando as funções do sistema ou com a ajuda da Operadora.
- Guardar o prontuário pelo prazo legal, exportando os dados antes de encerrar a conta.
- Controlar quem da sua equipe tem acesso e proteger as senhas.
4. Obrigações da Operadora
- Tratar os dados apenas segundo as instruções da Controladora, que são este contrato e o uso que ela faz do sistema (art. 39 da LGPD).
- Não usar os dados para finalidades próprias, não vendê-los e não compartilhá-los, exceto com os suboperadores da cláusula 6 ou por obrigação legal.
- Garantir que as pessoas autorizadas a acessar os dados tenham compromisso de confidencialidade.
- Adotar as medidas de segurança da cláusula 5.
- Acessar o conteúdo dos dados de pacientes apenas quando for indispensável para suporte técnico pedido pela Controladora ou para resolver um incidente, e registrar esse acesso.
- Ajudar a Controladora a atender os titulares e a ANPD, e a fazer o relatório de impacto, quando necessário.
- Disponibilizar as informações necessárias para comprovar o cumprimento deste contrato.
5. Segurança
- Banco de dados hospedado no Brasil (São Paulo).
- Conexão criptografada (HTTPS/TLS) e dados criptografados no servidor.
- Isolamento dos dados de cada clínica por regras de segurança no próprio banco de dados.
- Verificação em duas etapas disponível para todos os usuários (obrigatória para a equipe da Lumaclin) e saída automática por inatividade, com tempo definido pela clínica.
- Aceite das regras de segurança por cada usuário antes do primeiro acesso, com data e versão registradas.
- Senhas criptografadas e sessões com prazo de validade.
- Registro de atividade: cada inclusão, alteração ou exclusão de pacientes, consultas, evoluções, odontograma e cobranças fica registrada com usuário e data.
- Proteções do site contra injeção de código e uso em páginas de terceiros, e verificação de integridade das bibliotecas externas.
- O assistente funciona no navegador da clínica e não envia dados de pacientes a serviços de inteligência artificial.
6. Suboperadores
| Suboperador | Serviço | Local dos dados |
|---|---|---|
| Supabase, Inc. | Banco de dados e login | São Paulo (Brasil) |
As páginas são hospedadas na Vercel, Inc., mas os dados dos pacientes vão direto do navegador da clínica para o banco de dados, sem passar pela Vercel. Avisaremos qualquer troca de suboperador com 30 dias de antecedência. A Controladora pode se opor por motivo razoável e, se não houver solução, encerrar a conta sem multa.
7. Incidentes de segurança
A Operadora comunicará à Controladora qualquer incidente de segurança com os dados em até 48 horas depois de tomar conhecimento, com as informações disponíveis, para que a Controladora possa avisar a ANPD e os titulares nos prazos da regulamentação (art. 48 da LGPD).
8. Transferência internacional
Os dados ficam no Brasil. Se um suboperador precisar acessá-los do exterior para suporte, a transferência seguirá o art. 33 da LGPD, com cláusulas-padrão de proteção de dados aprovadas pela ANPD.
9. Fim do contrato
Ao fim do teste sem contratação, ou com o cancelamento, a Controladora tem 30 dias para exportar os dados pelo sistema. Depois disso, a Operadora elimina os dados e as cópias, salvo obrigação legal de guardá-los. A pedido, confirmamos a eliminação por escrito.
10. Lei e foro
Este contrato segue a LGPD e as demais leis brasileiras. Fica eleito o foro do domicílio da Controladora.