Acordo de tratamento de dados (DPA)
1. Objeto e duração
A Cita2 trata dados pessoais dos clientes do Controlador somente para prestar o serviço de agendamento e gestão contratado, durante a vigência do contrato e até a devolução ou eliminação dos dados (cláusula 10).
2. Dados e titulares
Titulares: clientes, pacientes e responsáveis do Controlador. Dados: identificação, contato, histórico de agendamentos e pagamentos e, se o Controlador ativar módulos clínicos, dados de saúde (categoria especial/sensível).
3. Instruções
A Cita2 trata os dados somente conforme instruções documentadas do Controlador (este acordo e o uso da plataforma) e o avisará se uma instrução violar a lei. A Cita2 não usa esses dados para fins próprios.
4. Confidencialidade
O pessoal da Cita2 com acesso aos dados está sujeito a dever de confidencialidade e acessa somente quando necessário para suporte ou manutenção do serviço.
5. Segurança
A Cita2 aplica as medidas descritas na sua Política de privacidade (seção 8): criptografia em trânsito, hash de senhas, isolamento por negócio, controle de acesso por papéis, registro inalterável de consentimentos e ações de privacidade, e criptografia em repouso e backups a cargo dos seus provedores de infraestrutura.
6. Suboperadores
O Controlador autoriza de forma geral os suboperadores da lista vigente:
| Fornecedor | Finalidade | Local |
|---|---|---|
| Supabase | Banco de dados e armazenamento de arquivos | Configurable (ver aviso) |
| Railway | Hospedagem do servidor da aplicação | EE. UU. |
| Resend | Envio de e-mails transacionais e de campanhas | EE. UU. |
| Twilio | Envio de mensagens de WhatsApp | EE. UU. |
| Stripe | Processamento de pagamentos com cartão | EE. UU. / UE |
| PayPal | Processamento de pagamentos | EE. UU. / UE |
| MercadoPago | Processamento de pagamentos (apenas Chile e países habilitados) | LatAm |
| CARTO / OpenStreetMap | Mapas de localização em páginas públicas (o IP do visitante é enviado) | UE / EE. UU. |
A Cita2 mantém contratos com eles com obrigações equivalentes e responde pelo cumprimento. Avisará as mudanças com antecedência razoável; o Controlador pode se opor e, não havendo alternativa, encerrar o serviço.
7. Transferências internacionais
O Controlador autoriza o tratamento fora do seu país. A Cita2 usará cláusulas contratuais padrão ou outros mecanismos válidos quando a lei exigir.
8. Direitos dos titulares
A Cita2 oferece ao Controlador ferramentas para atender acesso, portabilidade, retificação, restrição e eliminação (painel Privacidade e dados) e encaminhará as solicitações que receber dos clientes dele em até 15 dias. Quem responde ao titular é o Controlador.
9. Incidentes de segurança
A Cita2 notificará o Controlador sem demora indevida após tomar conhecimento de uma violação que afete seus dados, com as informações disponíveis para que cumpra seus próprios deveres de aviso (à autoridade, em geral, em até 72 horas).
10. Devolução e eliminação
Ao término do serviço, a Cita2 permitirá exportar os dados e depois os eliminará, exceto os que deva guardar por lei. Os registros sob dever legal de guarda ficam restritos e são eliminados ao fim do prazo.
11. Auditoria
A Cita2 disponibilizará as informações necessárias para demonstrar conformidade e permitirá auditorias razoáveis, com aviso prévio e sem afetar outros clientes.
12. Obrigações do Controlador
O Controlador declara ter base legal para tratar os dados, informar os titulares por meio de aviso de privacidade, obter consentimento específico para dados de saúde e marketing, e manter atualizados na plataforma seu país e seu prazo de guarda clínica.
Documento base: deve ser revisado por assessoria jurídica de cada jurisdição.