Acordo de Tratamento de Dados Pessoais (DPA)

Este Acordo é celebrado entre a clínica identificada no cadastro da conta Clinisfera ("Clínica") e PANA S.r.l.s. (PANA Società a Responsabilità Limitata Semplificata), sociedade de direito italiano, P.IVA/Codice Fiscale 04477730164, com sede em Via Achille Muzio 1/A, 24126 Bergamo (BG), Itália, operadora do produto Clinisfera ("Clinisfera").

Ele rege o tratamento de dados pessoais que a Clinisfera realiza por conta e em nome da Clínica, conforme a Lei nº 13.709/2018 (LGPD) e, no que couber à Clinisfera por seu estabelecimento na União Europeia, o Regulamento (UE) 2016/679 (GDPR). Os termos técnicos têm o significado do art. 5º da LGPD; dados de saúde são dados pessoais sensíveis.

A Clínica é a Controladora dos dados pessoais de seus pacientes: decide as finalidades e os meios essenciais do tratamento.

A Clinisfera é a Operadora: trata os dados exclusivamente segundo as instruções da Clínica, para prestar a plataforma de comunicação, agendamento e automação por inteligência artificial contratada. A Clinisfera não usa os dados de pacientes para finalidades próprias, não os comercializa e não os usa para treinar modelos de IA.

Titulares: pacientes da Clínica e seus responsáveis legais. Dados: nome, telefone, CPF, RG, data de nascimento, endereço, e-mail e, como dados sensíveis, informações de saúde (alergias, medicamentos, condições, histórico clínico, conteúdo de conversas e documentos).

Finalidades: comunicação com pacientes, agendamento, lembretes, acompanhamento, automação por IA e gestão administrativa da Clínica. Operações: coleta, registro, armazenamento, organização, uso, processamento por IA, transmissão por mensageria e e-mail, anonimização e eliminação.

A Clinisfera obriga-se a: (a) tratar os dados apenas conforme as instruções da Clínica e a lei; (b) garantir a confidencialidade de todos que tratem os dados; (c) adotar as medidas de segurança do Anexo B (LGPD arts. 46 a 49); (d) auxiliar a Clínica no atendimento aos titulares e em relatórios de impacto; (e) comunicar incidentes conforme a cláusula 8; (f) manter registro das operações de tratamento; (g) eliminar ou devolver os dados ao término, conforme a cláusula 9.

A Clínica declara que possui base legal (LGPD arts. 7º e 11) para os dados que insere, importa ou envia à plataforma — inclusive listas de contatos importadas e documentos de pacientes (fichas, anamneses, exames) — e que informa seus pacientes sobre o uso de ferramentas digitais e de inteligência artificial no atendimento, podendo para isso indicar a Política de Privacidade da Clinisfera.

Quando o paciente conversa com a assistente virtual pelo WhatsApp, a própria plataforma apresenta o aviso de privacidade e coleta o consentimento específico e destacado do paciente antes de qualquer processamento por IA de suas mensagens, áudios, imagens ou documentos. A Clínica não deve contornar esse mecanismo.

Para os pacientes que não passam por esse mecanismo — cadastrados manualmente, importados ou atendidos presencialmente — e cujos dados a Clínica utiliza no chat com a assistente ou em documentos enviados à plataforma, a Clínica obriga-se a colher o Termo de Consentimento LGPD assinado pelo paciente, que contém seção destacada e consentimento específico para o uso de inteligência artificial e a transferência internacional (art. 33, VIII), e a registrá-lo na ficha do paciente pela função “Registrar Termo assinado”. A plataforma sinaliza na ficha os pacientes sem consentimento registrado.

A Clínica autoriza a Clinisfera a contratar suboperadores nas categorias do Anexo A, necessários ao serviço. A Clinisfera mantém com cada um contrato de proteção de dados não menos rigoroso que este Acordo, responde perante a Clínica pelo cumprimento deles e informa com antecedência razoável alterações relevantes, facultando objeção motivada. A lista nominal, com finalidade e local do tratamento, consta do Anexo A; o detalhamento das salvaguardas de cada fornecedor é fornecido à Clínica mediante solicitação ao encarregado.

Parte do tratamento ocorre fora do Brasil (União Europeia e Estados Unidos). As transferências observam o art. 33 da LGPD: adequação recíproca Brasil–União Europeia (Resolução CD/ANPD nº 32/2026), cláusulas e garantias contratuais com os suboperadores e o consentimento específico e destacado do paciente (art. 33, VIII), coletado pela plataforma no WhatsApp ou pela Clínica por meio do Termo de Consentimento LGPD assinado. Para os suboperadores nos Estados Unidos que não aderem às cláusulas-padrão contratuais da ANPD, a salvaguarda aplicável é esse consentimento.

No atendimento do paciente pela assistente virtual (WhatsApp e Instagram Direct), a plataforma bloqueia o envio das mensagens e arquivos do paciente aos fornecedores de inteligência artificial enquanto não houver o consentimento registrado: até lá, o paciente recebe apenas respostas fixas, sem processamento por IA. Esse bloqueio não se aplica às funções usadas pela própria Clínica sobre os seus dados — o assistente da equipe no painel, os relatórios e análises automáticas e os documentos que a Clínica envia à plataforma —, para os quais vale a cláusula 5 (base legal e Termo de Consentimento a cargo da Clínica).

A plataforma oferece recursos para a Clínica atender, nos prazos legais, os pedidos de acesso, correção, portabilidade, anonimização, eliminação, informação sobre compartilhamento e revogação de consentimento (LGPD art. 18). Pedidos recebidos diretamente pela Clinisfera serão encaminhados à Clínica sem demora.

A Clinisfera comunicará à Clínica qualquer incidente que possa acarretar risco ou dano relevante aos titulares em até 24 horas após tomar conhecimento, com as informações do art. 48, §1º da LGPD. A comunicação à ANPD e aos titulares cabe à Clínica, como Controladora, com o apoio da Clinisfera.

Os dados são tratados pelo tempo necessário às finalidades e às obrigações legais. A guarda mínima de prontuário exigida pela regulação profissional é responsabilidade da Clínica; para atender pedidos de eliminação sem violar essa guarda, a plataforma anonimiza os dados identificáveis.

Encerrado o contrato, a Clinisfera eliminará ou devolverá os dados em formato estruturado em até 30 dias, ressalvada a guarda legal obrigatória.

A Clinisfera fornece à Clínica as informações necessárias para demonstrar conformidade e permite auditorias razoáveis, com aviso prévio de 15 dias, respeitada a confidencialidade de outros clientes e da infraestrutura. Cada parte responde pelos danos causados pelo descumprimento de suas obrigações, nos termos dos arts. 42 a 45 da LGPD.

Este Acordo vigora enquanto durar a assinatura da Clínica e subsiste quanto ao sigilo e à eliminação ou devolução dos dados. Em caso de conflito com os Termos de Uso quanto à proteção de dados, prevalece este Acordo.

Encarregado da Clinisfera: Paolo Nicastro — dpo@aiclinisfera.com. Encarregado da Clínica: o indicado por ela ou, na falta, seu responsável legal.

Este Acordo rege-se pela legislação brasileira. Fica eleito o foro da comarca da sede da Clínica, sem prejuízo da competência da ANPD.