Acordo de Tratamento de Dados Pessoais (DPA) — CRM BYA

Versão 0.2 · 05/11/2026. Texto preliminar, sujeito a revisão jurídica. Anexo aos Termos de Uso do CRM BYA. Base: Lei 13.709/2018 (LGPD), arts. 5º, 11, 33, 37–39, 42, 46–48.

Partes

CONTROLADORA: a clínica que aceita estes Termos e este DPA, identificada pela conta criada na plataforma ("Clínica"). Razão social, CNPJ, endereço e representante constam do cadastro e do Plano da Clínica.

OPERADORA: 64.511.930 RODRIGO AUGUSTO KRAUEL, CNPJ 64.511.930/0001-92, empresário individual enquadrado como MEI (Simples Nacional), nome fantasia CRM BYA, com sede em Rua Diringshofen, 236, Anita Garibaldi, Joinville/SC, CEP 89.203-550, telefone (47) 98892-9151, domínio crmbya.com.br ("Operadora").

Encarregado da Operadora: Rodrigo Augusto Krauel — crmbya.privacidade@gmail.com.

1. Definições

Aplicam-se as definições do art. 5º da LGPD, em especial: dado pessoal sensível (II), controlador (VI), operador (VII), encarregado (VIII), tratamento (X). "Plataforma" é o CRM BYA. "Incidente" é evento de segurança que comprometa confidencialidade, integridade ou disponibilidade de dados pessoais.

2. Papéis e objeto

2.1. A Clínica é Controladora dos dados de pacientes e demais pessoas que cadastra na Plataforma. A Operadora trata esses dados apenas em nome da Clínica para prestar o serviço contratado.

2.2. Escopo do tratamento:

3. Obrigações da Controladora (Clínica)

A Clínica:

a) define as finalidades e garante base legal para cada tratamento, inclusive para dados sensíveis (art. 11) — p.ex. tutela da saúde (art. 11, II, "f"), exercício regular de direitos em contrato (art. 11, II, "d") ou consentimento específico e destacado (art. 11, I);

b) obtém e guarda os consentimentos que forem necessários e verifica sua validade e abrangência. O CRM registra o consentimento de fotos e a evidência informados pela Clínica, sem substituir o documento da Clínica. Para divulgação ou marketing, é necessária autorização específica e separada, respeitadas as regras profissionais;

c) informa os pacientes sobre o tratamento (aviso de privacidade da clínica) e indica seu canal de atendimento;

d) atende os direitos dos titulares (art. 18) e comunica incidentes à ANPD e aos titulares quando exigido (art. 48);

e) cumpre normas da sua atividade (guarda de prontuário, conselhos profissionais, vigilância sanitária);

f) gerencia seus usuários e permissões e não insere dados desnecessários (princípio da necessidade, art. 6º, III);

g) trata dados de crianças e adolescentes no seu melhor interesse, observando o ECA e a LGPD art. 14; documenta a base legal cabível dos arts. 7º ou 11 (Enunciado CD/ANPD nº 1/2023), verifica a representação ou assistência e obtém os consentimentos e autorizações exigíveis. Se a base for consentimento para dados de crianças, ele deverá ser específico e destacado, por pelo menos um dos pais ou responsável legal, com verificação razoável. A Clínica responde pela legalidade da coleta; preencher um campo no CRM não sana vício de consentimento.

4. Obrigações da Operadora

A Operadora:

a) trata os dados somente conforme as instruções documentadas da Clínica (art. 39) — estes Termos, este DPA e as configurações e ações feitas pela Clínica na Plataforma constituem as instruções;

b) avisa a Clínica se entender que uma instrução viola a LGPD;

c) não usa dados de pacientes para fins próprios, publicidade, venda, perfilamento ou treinamento de IA, e não os compartilha para vantagem econômica (art. 11, §4º);

d) mantém registro das operações de tratamento (art. 37);

e) garante que pessoas com acesso estejam sob dever de sigilo e com acesso mínimo necessário;

f) apoia a Clínica em RIPD (art. 38), pedidos de titulares e da ANPD (cláusula 9);

g) disponibiliza campos para registrar responsável legal, consentimentos para fotos e autorizações obtidas pela Clínica, com evidência, finalidade, data e possibilidade de registrar revogação; esse registro não substitui a avaliação e a obtenção lícita pela Clínica;

h) só acessa o ambiente de uma Clínica para suporte, segurança, manutenção ou por instrução ou autorização dela, ficando o acesso sujeito ao log de auditoria da operação.

5. Confidencialidade

Dados de pacientes são confidenciais por prazo indeterminado, mesmo após o fim do contrato. Divulgação só por ordem legal ou judicial, com aviso prévio à Clínica quando permitido.

6. Segurança (art. 46)

A Operadora pode trocar medidas por outras equivalentes ou melhores, sem reduzir o nível de proteção.

7. Suboperadores e transferência internacional

7.1. A Clínica autoriza os suboperadores abaixo. A Operadora avisará com 30 dias de antecedência a inclusão ou troca de suboperador que passe a tratar dados da Clínica. A Clínica pode se opor de forma fundamentada e, se não houver solução, rescindir sem multa. A lista pública está em Suboperadores.

Não há provedor de e-mail transacional nem intermediador de pagamento nesta versão. Nenhum dos dois trata dados de pacientes pela plataforma.

7.2. A Operadora impõe aos suboperadores obrigações de proteção equivalentes às deste DPA (via termos ou DPA do fornecedor) e responde perante a Clínica pelos atos deles, nos limites da lei.

7.3. Localização e eventual transferência internacional (art. 33): aplicação, banco e backups em OCI São Paulo. Cloudflare não é utilizado; DNS somente no Registro.br. Não há envio de dados clínicos ao exterior nesses fluxos de hospedagem e backup. O GitHub recebe só o código. Se provedor ou região mudar para o exterior, ou surgir outro fluxo internacional, a Operadora revisará previamente este capítulo e a Política, informará a Clínica e adotará mecanismo válido do art. 33 e da Res. CD/ANPD nº 19/2024, quando aplicável.

8. Incidentes de segurança (art. 48)

8.1. A Operadora avisará a Clínica sobre incidente que envolva dados da Clínica sem demora injustificada e em até 24 horas após tomar conhecimento, pelo e-mail do responsável cadastrado na Clínica e, se houver, pelo telefone informado.

8.2. O aviso trará, no que estiver disponível: natureza do incidente; dados e titulares afetados (estimativa); medidas tomadas e recomendadas; riscos; contato de quem acompanha. Informações faltantes serão complementadas em seguida.

8.3. A Clínica, como controladora, avalia e realiza a comunicação à ANPD e aos titulares quando o incidente puder acarretar risco ou dano relevante. O prazo-regra da Res. CD/ANPD nº 15/2024 é de 3 dias úteis do conhecimento pela controladora de que dados pessoais foram afetados. Eventuais prazos diferenciados para pequeno porte dependem de enquadramento válido; não são presumidos neste DPA. A Operadora fornece prontamente as informações técnicas necessárias. O prazo de 24 horas para avisar a Clínica é distinto do prazo regulatório.

8.4. A Operadora mantém registro interno de incidentes por no mínimo 5 anos, inclusive os que não forem comunicados à ANPD.

9. Apoio à Clínica

A Operadora, sem custo adicional dentro do razoável para o Plano:

a) oferece meios técnicos para a Clínica acessar, corrigir, exportar e excluir dados de titulares;

b) encaminha à Clínica em até 2 dias úteis qualquer pedido de titular que receber diretamente, sem respondê-lo no mérito;

c) apoia respostas à ANPD e elaboração de RIPD com informações técnicas.

10. Auditoria

A Clínica pode pedir, até 1 vez por ano, informações e evidências razoáveis de conformidade (questionário, descrição de medidas, relatórios). Auditoria presencial ou técnica: com aviso de 30 dias, custos da Clínica, sem acesso a dados de outras clínicas nem comprometer a segurança.

11. Fim do tratamento — devolução e eliminação

11.1. No término, a Clínica terá 30 dias para exportar seus dados.

11.2. Após esse prazo, a Operadora elimina os dados da Clínica do ambiente de produção em até 30 dias, e dos backups conforme o ciclo de retenção (padrão atual: 7 diários, 4 semanais e 6 mensais), salvo guarda exigida por lei à Operadora (art. 16). Emitirá declaração de eliminação a pedido.

11.3. A guarda obrigatória de prontuário ou registros clínicos é responsabilidade da Clínica.

12. Responsabilidade (art. 42)

12.1. Cada parte responde pelos danos que causar ao violar a LGPD. Pela lei, a Operadora responde solidariamente quando descumprir a LGPD ou não seguir as instruções lícitas da Clínica (art. 42, §1º, I), e há excludentes do art. 43.

12.2. Direito de regresso entre as partes conforme a culpa de cada uma.

12.3. O limite contratual preliminar entre as partes é o dos Termos (valor pago nos últimos 12 meses), sem prejuízo de direitos de titulares e do que a lei não permitir limitar. A versão definitiva pode ajustar esse limite.

13. Encarregados / contatos

14. Disposições finais

Prevalece sobre os Termos em matéria de dados pessoais. Vigência igual aos Termos; cláusulas 5, 11 e 12 sobrevivem ao término. Lei brasileira. O foro da versão definitiva será o indicado nos Termos. A sede da Operadora em Joinville/SC não escolhe o foro por si só.

O aceite eletrônico do dono da Clínica, no cadastro ou no aviso de nova versão, registra a versão, o usuário, a clínica, o IP e a data e hora.

64.511.930 RODRIGO AUGUSTO KRAUEL · CNPJ 64.511.930/0001-92 · Rua Diringshofen, 236, Anita Garibaldi, Joinville/SC, CEP 89.203-550 · (47) 98892-9151