Acordo de Processamento de Dados

1. Objeto e Escopo

O presente contrato tem por objeto regular as condições sob as quais TrichoSuite Technologies S.L. (doravante "o Operador") tratará dados pessoais em nome da clínica (doravante "o Controlador") no âmbito da prestação dos serviços da plataforma TrichoSuite.

Este DPA aplica-se a todo tratamento de dados pessoais que o Operador realiza em nome do Controlador, incluindo armazenamento, modificação, consulta, transmissão e exclusão de dados.

2. Dados Tratados

O Operador tratará as seguintes categorias de dados pessoais:

• •Dados de identificação dos pacientes: nome, sobrenome, documento de identidade, email, telefone, data de nascimento, endereço.
• •Dados de saúde (Art. 9 RGPD): classificação Norwood/Ludwig, fotografias clínicas, escaneamentos 3D, histórico médico, alergias, medicamentos, registros cirúrgicos, documentação de acompanhamento.
• •Dados de comunicação: mensagens com a equipe clínica, conversas com chatbot de IA, formulários de consentimento assinados digitalmente.
• •Dados da equipe clínica: nome, email profissional, função, credenciais de acesso, registros de atividade.
• •Dados financeiros: faturas, orçamentos, registros de pagamento (gerenciados via Stripe).

3. Obrigações do Operador

O Operador compromete-se a:

• •Tratar os dados apenas de acordo com as instruções documentadas do Controlador.
• •Não utilizar dados pessoais para fins próprios, incluindo marketing, criação de perfis ou venda a terceiros.
• •Garantir que as pessoas autorizadas a tratar dados assumiram obrigações de confidencialidade.
• •Implementar medidas técnicas e organizacionais adequadas em conformidade com o Artigo 32 do RGPD.
• •Assistir o Controlador no cumprimento de solicitações de exercício de direitos dos titulares.
• •Assistir o Controlador na realização de avaliações de impacto na proteção de dados (DPIA).
• •Disponibilizar ao Controlador todas as informações necessárias para demonstrar conformidade com o Art. 28 do RGPD.
• •Notificar o Controlador sem demora de qualquer solicitação recebida de um titular.

4. Obrigações do Controlador

O Controlador compromete-se a:

• •Obter o consentimento adequado dos pacientes para o tratamento de seus dados de saúde.
• •Fornecer instruções lícitas e em conformidade com o RGPD ao Operador.
• •Garantir a existência de base legal para o tratamento de dados pessoais.
• •Informar o Operador sobre quaisquer alterações nas instruções de tratamento.
• •Manter um registro das atividades de tratamento em conformidade com o Art. 30 do RGPD.

5. Sub-operadores

O Controlador autoriza genericamente o Operador a contratar sub-operadores. O Operador informará sobre alterações com pelo menos 30 dias de antecedência.

6. Medidas de Segurança

O Operador implementará as seguintes medidas nos termos do Art. 32 do RGPD:

• •Criptografia em trânsito (TLS 1.3) e em repouso (AES-256).
• •Controle de acesso baseado em funções (RBAC) com privilégio mínimo.
• •Autenticação multifator (MFA) obrigatória para administradores.
• •Registros de auditoria imutáveis de todos os acessos e modificações.
• •Backups criptografados com geo-redundância.
• •Avaliações de segurança regulares e testes de penetração anuais.
• •Monitoramento contínuo e detecção de ameaças.
• •Procedimentos documentados de resposta a incidentes.

7. Notificação de Violações de Dados

Em caso de violação de dados, o Operador notificará o Controlador dentro de 24 horas. A notificação incluirá:

• •Natureza da violação, categorias e número aproximado de titulares afetados.
• •Dados de contato do Encarregado de Proteção de Dados.
• •Prováveis consequências da violação.
• •Medidas adotadas ou propostas para remediar.

O Operador auxiliará o Controlador na notificação à autoridade supervisora (72h, Art. 33 RGPD) e aos titulares afetados (Art. 34 RGPD).

8. Direitos dos Titulares

O Operador auxiliará o Controlador no cumprimento de solicitações de direitos (acesso, retificação, exclusão, restrição, portabilidade e objeção). A plataforma fornece ferramentas integradas para exportação de dados e exclusão seletiva de registros.

9. Transferências Internacionais

Dados médicos são armazenados principalmente na UE. Para transferências fora do EEE, são garantidas Cláusulas Contratuais Padrão (SCC) ou adesão ao Quadro de Privacidade de Dados UE-EUA.

10. Prazo e Rescisão

Este DPA permanecerá em vigor durante a vigência do contrato de serviços e encerrará automaticamente ao seu término. As obrigações de confidencialidade sobreviverão à rescisão.

11. Devolução e Exclusão de Dados

Ao término, o Operador devolverá ou excluirá todos os dados pessoais (incluindo cópias), à escolha do Controlador. A devolução será em formatos padrão (CSV, JSON, PDF) dentro de 30 dias. Os backups serão excluídos dentro de 90 dias.

12. Auditoria e Supervisão

O Operador disponibilizará ao Controlador todas as informações necessárias para demonstrar conformidade e permitirá auditorias com aviso mínimo de 30 dias, durante o horário comercial e sem interferir nas operações do serviço.