DPA · Termo de Tratamento de Dados

• Controladora: a clínica titular da conta, responsável pelas decisões sobre os dados.
• Operadora: ClinPRO Sistemas de Gestão e Pagamentos Ltda, CNPJ 69.166.115/0001-57, que opera o ClinPRO.
• Titulares: pacientes da clínica cujos dados são tratados.
• Dados pessoais: qualquer informação que identifique ou possa identificar um titular.
• Dados sensíveis: conforme art. 5º, II da LGPD, incluindo dados de saúde.

Pelo presente, a Controladora autoriza a Operadora a tratar os dados pessoais e sensíveis dos titulares estritamente para as finalidades de operação da plataforma ClinPRO: atendimento via IA, qualificação, agendamento, follow-up, pós-atendimento, geração de relatórios e suporte.

• Tratar os dados somente conforme as instruções da Controladora
• Manter os dados protegidos com criptografia em repouso e TLS em trânsito
• Hospedar o banco de dados e a aplicação no Brasil (São Paulo), com tratamento fora do país limitado ao descrito na cláusula 5
• Manter registro de acessos à plataforma
• Backup diário automático
• Comunicar incidentes de segurança em até 24h após detecção
• Apoiar a Controladora no atendimento a requisições de titulares (art. 18 LGPD)
• Devolver (por exportação) ou eliminar os dados quando a Controladora pedir
• Submeter-se a auditorias razoáveis mediante aviso prévio de 30 dias

• Obter consentimento informado dos titulares quando exigido por lei
• Manter política de privacidade atualizada e acessível aos titulares
• Indicar um Encarregado de Dados (DPO) se sua escala/atividade exigir
• Definir finalidade e instruir a Operadora sobre tratamento
• Atender requisições de titulares em até 15 dias
• Manter a integridade dos dados inseridos na plataforma

A Controladora autoriza a Operadora a contratar os seguintes sub-operadores estritamente necessários à operação:

• Supabase (AWS) · banco de dados e arquivos
• Vercel · hospedagem da aplicação (região São Paulo)
• Cloudflare · agendamento das rotinas automáticas
• Evolution API (servidor próprio) · conexão com o WhatsApp por QR code
• WAME e Meta · WhatsApp oficial (API do WhatsApp Business)
• Provedores de IA · Anthropic, OpenAI, DeepSeek, Google, Groq e outros, diretamente ou pelos agregadores Blackbox e OpenRouter · respostas, leitura de imagens e transcrição
• ElevenLabs · voz da IA, quando a Controladora liga respostas em áudio
• Meta (Conversions API) · só com os anúncios conectados: telefone e e-mail em hash, nome do evento e valor, nunca dado de saúde
• Google · Google Agenda, quando a Controladora conecta a agenda
• Asaas · processamento de pagamento
• Sentry · registro de erros técnicos
• n8n e provedor de e-mail · envio de e-mails do sistema

Os provedores de IA, a síntese de voz e o registro de erros tratam dados fora do Brasil, principalmente nos Estados Unidos. A transferência é necessária à execução do serviço (LGPD art. 33, IX).

Mudanças relevantes na lista de sub-operadores serão comunicadas com 30 dias de antecedência.

Quando a Operadora precisar fazer transferência internacional (por exemplo, em chamadas a modelos de IA hospedados fora do Brasil), garante que tal transferência seja feita conforme art. 33 da LGPD · para países com nível adequado de proteção ou mediante cláusulas contratuais específicas.

Em caso de incidente envolvendo dados pessoais, a Operadora:

• Comunica a Controladora em até 24h após detecção, por e-mail
• Apoia a Controladora na avaliação de impacto
• Apoia a comunicação à ANPD e aos titulares afetados se necessário
• Implementa medidas mitigatórias imediatamente

Quando um titular contatar a Operadora diretamente exercendo direitos (art. 18 LGPD), a Operadora encaminha à Controladora em até 5 dias úteis. A Operadora apoia a Controladora tecnicamente · exportação de dados em planilha (.xlsx), eliminação, anonimização · sem custo adicional.

Este DPA vigora enquanto vigorar a assinatura do ClinPRO. Cancelar a assinatura não apaga os dados: a Operadora os mantém guardados para que a Controladora possa reativar a conta. A eliminação definitiva acontece quando a Controladora pedir, por contato@gestaoclinpro.com.br, em até 15 dias, preservados só os registros exigidos por lei, o registro do aceite deste DPA e dados agregados ou anonimizados.

Foro eleito: comarca de São Paulo / SP.

Ao usar o ClinPRO de forma continuada, a Controladora declara estar ciente e aceitar os termos deste DPA. Versão impressa disponível mediante solicitação a contato@gestaoclinpro.com.br.