DPA — Acordo de Tratamento de Dados entre Controlador e Operador

PARTES

CONTROLADOR: [RAZÃO SOCIAL DA CLÍNICA] — doravante "CLIENTE"

OPERADOR: Rabi Sistemas — doravante "RABI"

CLÁUSULA 1ª — OBJETO

1.1. Este DPA regula o tratamento de dados pessoais realizado pela RABI em nome e por instrução do CLIENTE, no contexto do uso do Sistema Rabi, em conformidade com a LGPD.

CLÁUSULA 2ª — DADOS TRATADOS

2.1. Categorias de titulares:

• Profissionais e funcionários do CLIENTE (usuários internos da Plataforma)
• Pacientes atendidos pelo CLIENTE
• Responsáveis legais por pacientes

2.2. Categorias de dados pessoais:

• Dados de identificação (nome, CPF, RG, data nascimento, foto)
• Dados de contato (endereço, telefone, email)
• Dados profissionais (CBOS, especialidades)
• Dados financeiros (convênio, carteirinha, pagamentos)

2.3. Dados sensíveis (LGPD Art. 5º, II):

• Dados de saúde — prontuário, anamnese, evolução, diagnósticos (CID-10), exames, prescrições, atestados

CLÁUSULA 3ª — NATUREZA E FINALIDADE DO TRATAMENTO

3.1. A RABI trata os dados exclusivamente para:

• Operar a Plataforma conforme contratado
• Permitir acesso autorizado pelo CLIENTE
• Realizar backup e garantir disponibilidade
• Cumprir obrigações legais (retenção, comunicação à ANPD em incidentes)
• Atender solicitações de titulares quando recebidas e autorizadas pelo CLIENTE

3.2. A RABI não usa os dados para finalidades próprias (marketing, análise comercial, treinamento de IA, etc.) sem autorização escrita do CLIENTE.

CLÁUSULA 4ª — OBRIGAÇÕES DA RABI (OPERADOR)

A RABI se obriga a:

1. Tratar dados apenas conforme instruções documentadas do CLIENTE;
2. Implementar medidas técnicas e organizacionais de segurança (PSI);
3. Garantir confidencialidade — todos com acesso assinam Termo de Sigilo;
4. Auxiliar o CLIENTE no atendimento a direitos dos titulares (acesso, correção, exclusão, portabilidade);
5. Comunicar o CLIENTE sobre incidentes em até 24 horas da detecção;
6. Permitir auditorias do CLIENTE (com aviso prévio de 15 dias);
7. Restituir ou eliminar dados ao final do contrato (90 dias de graça);
8. Cumprir LGPD em todas as suas obrigações como Operadora.

CLÁUSULA 5ª — OBRIGAÇÕES DO CLIENTE (CONTROLADOR)

1. Definir finalidades e base legal do tratamento;
2. Obter consentimento dos titulares quando exigido;
3. Manter Política de Privacidade própria com pacientes e funcionários;
4. Cadastrar usuários com diligência (papéis adequados, princípio do menor privilégio);
5. Atender solicitações dos titulares no prazo legal;
6. Comunicar à RABI qualquer instrução, mudança de finalidade ou solicitação relevante.

CLÁUSULA 6ª — SUBOPERADORES

6.1. A RABI utiliza os seguintes suboperadores, que cumprem requisitos equivalentes:

6.2. Inclusão de novos suboperadores: a RABI comunicará o CLIENTE com 30 dias de antecedência. O CLIENTE pode objetar fundamentadamente em 15 dias.

CLÁUSULA 7ª — TRANSFERÊNCIA INTERNACIONAL

7.1. A RABI mantém os dados no Brasil (Oracle Cloud regiões SP/Vinhedo).

7.2. Eventuais transferências (emails operacionais, suporte) ocorrem com base nas hipóteses do Art. 33 da LGPD.

CLÁUSULA 8ª — SEGURANÇA

Medidas técnicas e organizacionais constam da Política de Segurança da Informação. Em síntese:

• Criptografia em trânsito (TLS 1.2+) e em repouso (AES-256)
• Isolamento multi-tenant por schema PostgreSQL
• Autenticação Keycloak SSO + RBAC granular
• Backup diário + retenção 90 dias
• Logs de auditoria imutáveis (5 anos)
• WAF + rate-limit + dependency scanning

CLÁUSULA 9ª — INCIDENTES DE SEGURANÇA

9.1. A RABI comunicará o CLIENTE em até 24 horas da detecção de incidente envolvendo dados do CLIENTE.

9.2. Comunicação contém: natureza, dados afetados, titulares afetados, medidas adotadas.

9.3. CLIENTE comunica à ANPD em até 72h (LGPD Art. 48), com apoio técnico da RABI.

CLÁUSULA 10ª — DIREITOS DOS TITULARES

10.1. Solicitações de titulares (acesso, correção, exclusão, portabilidade) feitas diretamente à RABI são encaminhadas ao CLIENTE, com confirmação de recebimento ao titular.

10.2. A RABI auxilia tecnicamente o CLIENTE no atendimento, sem custo adicional, dentro do prazo de 15 dias.

CLÁUSULA 11ª — AUDITORIA

11.1. O CLIENTE pode auditar a conformidade da RABI com este DPA, mediante:

• Notificação prévia de 15 dias úteis;
• Em horário comercial;
• Sem prejuízo das operações da RABI;
• Custos da auditoria por conta do CLIENTE;
• Auditor obrigado a NDA prévio.

11.2. Relatório de auditoria pode levar a plano de ação conjunto.

CLÁUSULA 12ª — VIGÊNCIA

Este DPA vigora durante todo o Contrato SaaS e suas obrigações de confidencialidade e proteção de dados permanecem pelo prazo de retenção legal aplicável.

CLÁUSULA 13ª — DEVOLUÇÃO E ELIMINAÇÃO

13.1. Ao fim do contrato: 90 dias de graça para extração pelo CLIENTE.

13.2. Após 90 dias: eliminação do schema do CLIENTE, exceto dados em retenção legal (CFM, fiscal).