Acordo de Tratamento de Dados Pessoais

1. Objeto e papéis

Este Acordo integra os Termos de Uso e disciplina o tratamento de dados pessoais realizado por a plataforma MedKaizen, operada por Adair Pereira Dias Junior, pessoa física responsável pelo serviço enquanto a sociedade empresária não é constituída ("MedKaizen"), na qualidade de OPERADORA, por conta e ordem do médico contratante, na qualidade de CONTROLADOR, nos termos dos arts. 5º, 39 e 46 da Lei nº 13.709/2018 (LGPD).

2. Descrição do tratamento

Para os fins do art. 37 da LGPD, o tratamento é assim delimitado:

• Finalidade: apoio à documentação médica assistido por inteligência artificial — transcrição e organização do relato do atendimento —, guarda da cópia dos registros produzidos pelo médico, gestão de plantão e emissão de documentos médicos. A ferramenta não formula diagnóstico nem prescrição. A plataforma não é S-RES certificado pela SBIS/CFM e não substitui o sistema oficial da instituição de saúde.
• Natureza: coleta, transcrição, estruturação, armazenamento criptografado, consulta, correção com versionamento e eliminação quando legalmente admitida.
• Tipos de dados: identificação e contato de pacientes; dados de saúde (dados sensíveis, art. 11); metadados de atendimento; registros de acesso.
• Categorias de titulares: pacientes atendidos pelo Controlador e, quando aplicável, seus responsáveis legais.
• Duração: enquanto vigorar o contrato, somada ao prazo de guarda aplicável aos registros clínicos.

3. Instruções do Controlador

A Operadora tratará os dados exclusivamente conforme as instruções documentadas do Controlador, que são: os Termos de Uso, esta política e as operações que o Controlador realiza pela própria interface da plataforma.

A Operadora não usará os dados dos pacientes para finalidade própria, não os comercializará, não os cederá e não os empregará para treinar modelos de inteligência artificial.

Se, na avaliação da Operadora, uma instrução do Controlador violar a LGPD, a Operadora o informará por escrito e poderá suspender a execução daquela instrução específica.

4. Confidencialidade do pessoal

Toda pessoa autorizada a tratar dados em nome da Operadora está sujeita a dever de confidencialidade por escrito, que subsiste ao término do vínculo, e recebe acesso limitado ao mínimo necessário para sua função.

O acesso de pessoal da Operadora a conteúdo clínico identificado é excepcional, exige justificativa registrada e ocorre apenas para diagnóstico técnico solicitado pelo Controlador ou por determinação legal.

5. Medidas de segurança (art. 46)

A Operadora mantém as medidas técnicas e organizacionais descritas na Política de Privacidade, seção 7, que integram este Acordo para todos os efeitos, e se obriga a não reduzir o nível de proteção durante a vigência.

6. Suboperadores

O Controlador autoriza, de forma geral, a contratação dos suboperadores necessários à execução do serviço, nas categorias descritas na Política de Privacidade, seção 5.

A Operadora impõe a cada suboperador obrigações de proteção equivalentes às deste Acordo e responde perante o Controlador pelos atos deles.

Alterações relevantes na lista serão comunicadas com antecedência mínima de 30 dias, período em que o Controlador pode apresentar objeção fundamentada; não havendo solução, qualquer das partes pode rescindir sem ônus.

7. Apoio ao Controlador

A Operadora auxiliará o Controlador, na medida do razoável e com os recursos técnicos disponíveis, a: atender pedidos de titulares (art. 18); elaborar relatório de impacto quando exigido (art. 38); responder à ANPD; e demonstrar conformidade.

Pedidos de titulares recebidos diretamente pela Operadora serão encaminhados ao Controlador, sem resposta de mérito da Operadora.

8. Incidentes de segurança

Ao tomar conhecimento de incidente que possa acarretar risco ou dano relevante aos titulares, a Operadora comunicará o Controlador sem demora injustificada, informando: natureza do incidente, dados e titulares afetados ou potencialmente afetados, consequências prováveis, medidas de contenção adotadas e ponto de contato.

A Operadora prestará a cooperação necessária para que o Controlador cumpra seus deveres de comunicação à ANPD e aos titulares.

9. Comprovação de conformidade

A Operadora disponibilizará ao Controlador as informações necessárias para demonstrar o cumprimento deste Acordo, incluindo descrição das medidas de segurança, relação de suboperadores e registros de acesso pertinentes.

Auditorias por terceiro independente poderão ser realizadas mediante aviso prévio de 30 dias, no máximo uma vez por ano, em horário comercial, sob confidencialidade e às expensas do Controlador, preservados segredos de negócio e dados de outros clientes.

10. Término do tratamento

Encerrado o contrato, a Operadora, à escolha do Controlador, devolverá os dados em formato estruturado e legível por máquina ou os eliminará, salvo quanto ao que a lei ou o contrato obriguem a conservar.

É o caso dos registros clínicos: pelo compromisso contratual de guarda por prazo não inferior a 20 anos, eles não são eliminados nesse período, e a Operadora os manterá criptografados, com acesso de leitura assegurado ao Controlador, sem qualquer outra finalidade de tratamento. A guarda do prontuário oficial permanece com a instituição de saúde.

11. Responsabilidade

As partes respondem nos termos dos arts. 42 a 45 da LGPD. A Operadora responde solidariamente quando descumprir as obrigações legais que lhe cabem ou quando não seguir as instruções lícitas do Controlador.

Quem for condenado a reparar dano causado por conduta exclusiva da outra parte tem direito de regresso, na proporção da respectiva contribuição para o evento.

12. Vigência

Este Acordo vigora enquanto houver tratamento de dados por conta do Controlador, ainda que após o término dos Termos de Uso, e no que couber sobrevive indefinidamente quanto a confidencialidade e segurança.