Acordo de Tratamento de Dados (DPA)
Versão 1.0 — vigente a partir de 14/05/2026
Este Acordo (Data Processing Agreement) integra os Termos de Uso e disciplina o tratamento de dados pessoais de pacientes entre a clínica contratante (Controladora) e o PerioSystem (Operador), nos termos da LGPD.
1. Papéis
- •Controladora: a clínica, que decide finalidades e meios do tratamento dos dados de seus pacientes.
- •Operador: o PerioSystem, que trata os dados estritamente conforme instruções da Controladora e este Acordo.
2. Objeto e duração
Tratamento dos dados de pacientes necessários à prestação do serviço, durante a vigência do contrato e pelo período de reversão pós-encerramento.
3. Obrigações do Operador
- •Tratar dados apenas conforme instruções documentadas da Controladora.
- •Garantir confidencialidade de quem acessa os dados.
- •Adotar medidas técnicas e organizacionais de segurança (cifragem em trânsito e em repouso, isolamento multi-tenant, controle de acesso, auditoria, scrub de PII em ferramentas de observabilidade).
- •Auxiliar a Controladora no atendimento a titulares e à ANPD.
- •Notificar a Controladora sem demora injustificada em caso de incidente de segurança.
- •Eliminar ou devolver os dados ao fim do contrato, conforme escolha da Controladora.
4. Suboperadores
A Controladora autoriza o uso dos suboperadores listados na Política de Privacidade (infraestrutura e serviços essenciais). Mudanças relevantes na lista serão comunicadas com antecedência razoável, facultada objeção fundamentada.
5. Transferência internacional
Alguns suboperadores processam dados fora do Brasil (Estados Unidos da América, principalmente). A transferência ocorre com base no art. 33, II da LGPD, mediante as seguintes salvaguardas:
1. Cláusulas Contratuais Padrão assinadas com cada operador internacional, equivalentes às SCCs aprovadas pelo Comitê Europeu de Proteção de Dados e adaptadas à LGPD. 2. DPA específico com cada operador, em particular OpenAI e Deepgram (cópias disponíveis sob pedido em contato@perioprime.com.br). 3. Zero Data Retention (ZDR) habilitado nas contas corporativas da OpenAI e Deepgram: os dados enviados não são usados para treinamento nem retidos além do necessário para responder à requisição. 4. Anonimização do nome do paciente antes do envio aos provedores de IA (substituição por identificador anônimo do tipo `Paciente abcd1234`). 5. Cifragem ponta a ponta em trânsito (TLS 1.3) e em repouso (AES 256).
A lista dos países destino é mantida na Política de Privacidade, seção 5.1, e a Controladora pode solicitar, a qualquer momento, evidência da localização exata dos dados.
6. Auditoria
A Controladora pode solicitar evidências razoáveis de conformidade, mediante aviso prévio e sem comprometer a segurança de outras clínicas.
7. Responsabilidade
Cada parte responde por suas obrigações sob a LGPD na proporção de sua participação no evento que gerar dano.
Histórico de versões: v1.0 (14/05/2026) — versão inicial. Revisão Wave 8.74 (28/06/2026) detalhou a seção 5 (transferência internacional) e citou explicitamente as obrigações de IA.