Acordo de Processamento de Dados (DPA)

Este Acordo de Processamento de Dados (“DPA”) é celebrado entre:

• Controlador: o dentista ou clínica que assinou o plano VitaSys Dental (doravante “Controlador”).
• Operador: VitaSys Dental LTDA, que disponibiliza a plataforma de gestão odontológica (doravante “Operador”).

O objeto deste DPA é estabelecer as condições de tratamento de dados pessoais de pacientes e demais titulares, realizado pelo Operador em nome do Controlador, nos termos da LGPD (Lei 13.709/2018).

O Controlador é responsável por:

• Garantir a base legal para coleta e tratamento dos dados de seus pacientes.
• Obter consentimento quando exigido pelo tipo de dado ou finalidade.
• Responder às solicitações de titulares de dados.
• Manter dados precisos e atualizados na plataforma.

O Operador é responsável por:

• Tratar dados somente conforme as instruções documentadas do Controlador.
• Implementar medidas técnicas e organizacionais de segurança adequadas.
• Notificar o Controlador em caso de incidente de segurança envolvendo dados pessoais.
• Auxiliar o Controlador no cumprimento de obrigações com titulares e autoridades.

• Dados cadastrais de pacientes: nome, CPF, data de nascimento, telefone, e-mail, endereço e responsável legal (quando menor).
• Dados de saúde (dados sensíveis): prontuário clínico, anamnese, alergias, odontograma, planos de tratamento e prescrições. Tratados com base no art. 11, II, f da LGPD (tutela da saúde).
• Dados financeiros de pacientes: informações de cobrança e histórico de pagamentos de tratamentos.

• Armazenamento e disponibilização de prontuários para o Controlador.
• Agendamento e gestão de consultas.
• Emissão de recibos, orçamentos e planos de tratamento.
• Funcionalidades de IA de apoio clínico (geração de resumos e insights).
• Geração de relatórios e exportações solicitados pelo Controlador.

O Operador adota as seguintes medidas técnicas e organizacionais:

• Criptografia AES-256-GCM para dados sensíveis em repouso (ex.: CPF).
• TLS 1.2+ para todos os dados em trânsito.
• Controle de acesso baseado em perfis (RBAC) com autenticação multifator.
• Logs de auditoria imutáveis para todas as operações sobre dados de pacientes.
• Isolamento de dados por clínica (multi-tenancy) — cada clínica acessa apenas seus próprios dados.
• Revisões periódicas de segurança e testes de vulnerabilidade.
• Política de retenção e exclusão de dados definida neste DPA.

O Operador pode utilizar sub-operadores para a prestação do serviço, incluindo:

• Provedores de infraestrutura em nuvem — hospedagem de banco de dados e armazenamento de arquivos, com acordos de processamento vigentes.
• Stripe — processamento de pagamentos (não acessa dados de prontuário).
• Provedores de IA — para funcionalidades de assistente clínico, com cláusulas contratuais de proteção de dados.

O Operador notificará o Controlador sobre alterações relevantes nos sub-operadores com pelo menos 15 dias de antecedência.

Caso dados sejam transferidos para países fora do Brasil, o Operador garantirá proteção equivalente à LGPD por meio de cláusulas contratuais padrão ou mecanismos reconhecidos pela ANPD.

Em caso de incidente de segurança envolvendo dados pessoais, o Operador notificará o Controlador em até 72 horas após ciência do incidente, com informações sobre: natureza do incidente, dados afetados, medidas tomadas e pontos de contato para dúvidas.

O Operador auxiliará o Controlador no atendimento a solicitações de titulares de dados (acesso, correção, exclusão, portabilidade) dentro dos prazos estabelecidos pela LGPD. A ferramenta de exportação e anonimização está disponível no painel do Controlador.

Ao término da assinatura, o Controlador poderá exportar seus dados por até 30 dias. Após esse período, os dados serão anonimizados irreversivelmente ou excluídos, salvo obrigação legal de retenção (ex.: dados fiscais — 5 anos; prontuários — mínimo 5 anos conforme CFO).

Este DPA entra em vigor na data de aceite durante o cadastro e permanece vigente enquanto o Controlador mantiver assinatura ativa. Em caso de rescisão contratual, as obrigações de confidencialidade e segurança sobrevivem pelo prazo de retenção aplicável.

Este DPA é regido pelas leis brasileiras, em especial a LGPD (Lei 13.709/2018). Fica eleito o foro da cidade de São Paulo/SP para dirimir eventuais controvérsias.

Para questões relacionadas a este DPA, entre em contato com nosso DPO: privacidade@vitasys.com.br.