Este Acordo de Tratamento de Dados (Data Processing Agreement, DPA) regula as obrigações da Cronosoft (operadora) e da clínica contratante (controladora) sobre dados pessoais de pacientes tratados na plataforma Crono Clinic, em conformidade com a Lei nº 13.709/2018 (LGPD).
1. Partes
- Operadora: Cronosoft Tecnologia LTDA, CNPJ 27.974.673/0001-07, nome fantasia Cronosoft, com plataforma Crono Clinic.
- Controladora: a clínica ou profissional contratante identificado pelo cadastro na plataforma.
- Titular dos dados: os pacientes da controladora.
2. Objeto
A operadora trata dados pessoais e dados pessoais sensíveis (saúde) dos pacientes em nome da controladora, exclusivamente para entregar as funcionalidades contratadas: secretária com IA no WhatsApp, agenda, prontuário eletrônico, lembretes e campanhas.
3. Natureza, duração e finalidade do tratamento
- Natureza: coleta, armazenamento, transmissão, agregação, indexação para busca, geração de respostas automatizadas via modelos de linguagem.
- Duração: enquanto durar o contrato de prestação de serviços, observados os prazos legais de retenção (CFM nº 1.821/2007 para prontuário, mínimo de vinte anos).
- Finalidade: prestar o serviço contratado pela controladora.
4. Dados tratados
- Identificação do paciente: nome, telefone, data de nascimento, endereço.
- Dados de saúde: anamnese, histórico médico, prescrições, anexos clínicos.
- Conteúdo de mensagens trocadas no WhatsApp.
- Agendamentos, presenças, pagamentos.
5. Obrigações da Cronosoft (operadora)
- Tratar dados estritamente conforme instruções documentadas da controladora.
- Garantir confidencialidade dos profissionais com acesso aos dados.
- Manter medidas técnicas e organizacionais de segurança proporcionais aos riscos (criptografia em trânsito e em repouso, RLS multi-tenant, controle de acesso, logs de auditoria de prontuário, conforme detalhado na Política de Privacidade).
- Auxiliar a controladora a responder solicitações de titulares (art. 18 LGPD) em prazo razoável, mediante pedido por contato@cronosoft.com.br.
- Notificar a controladora sobre incidentes de segurança envolvendo dados de pacientes no prazo máximo de 48 horas após a constatação, fornecendo detalhes para o cumprimento do art. 48 LGPD.
- Disponibilizar, mediante solicitação, registros de tratamento (art. 37).
- Após o término do contrato, devolver ou eliminar os dados conforme orientação da controladora, ressalvada a retenção legal mínima do prontuário.
6. Obrigações da Controladora
- Definir a base legal para o tratamento de cada conjunto de dados (tutela da saúde, consentimento, execução de contrato).
- Informar pacientes sobre o tratamento e a participação da assistente virtual no atendimento.
- Cadastrar somente dados necessários e atualizados.
- Atender solicitações dos titulares (art. 18) como controladora, podendo solicitar suporte da operadora.
- Conduzir avaliação de impacto à proteção de dados (DPIA) quando aplicável.
7. Sub-operadores autorizados
A controladora autoriza o uso dos sub-operadores listados em nossa Política de Privacidade, especialmente Supabase, Cloudflare, Evolution API, n8n, Stripe, Resend, OpenAI e Anthropic. Mudanças relevantes na lista serão comunicadas com antecedência mínima de quinze dias, permitindo objeção fundamentada.
8. Transferência internacional
Parte do processamento ocorre fora do Brasil, especialmente nos Estados Unidos. A operadora mantém cláusulas contratuais com os sub-operadores compatíveis com o art. 33 da LGPD. Dados de saúde são limitados ao mínimo necessário para o funcionamento da assistente virtual.
9. Direitos dos titulares
A controladora é o ponto primário de contato. A operadora oferece suporte técnico para extração, retificação, anonimização ou eliminação de dados, observados os prazos legais.
10. Auditoria
A controladora pode, mediante aviso prévio razoável e em horário comercial, solicitar evidências do cumprimento deste acordo (relatórios de acesso a prontuário, configurações de segurança, lista de sub-operadores). Auditorias presenciais são consideradas caso a caso.
11. Responsabilidade
Cada parte responde por suas próprias violações. A operadora responderá solidariamente apenas nas hipóteses do art. 42 da LGPD, observados os limites contratuais dos Termos de Uso.
12. Vigência
Este acordo entra em vigor no momento da aceitação dos Termos de Uso e permanece válido enquanto durar a relação contratual e pelo tempo necessário ao cumprimento das obrigações pós-término (retenção de prontuário, atendimento a autoridades).
13. Contato
Encarregado de Dados (Cronosoft): contato@cronosoft.com.br.