Contrato de Tratamento de Dados Pessoais (DPA)

Versão 1.0 · 8 de setembro de 2026

Este Acordo de Tratamento de Dados Pessoais (Data Processing Agreement — "DPA") complementa os Termos de Uso e a Política de Privacidade do Vincia Med e regula o tratamento de dados pessoais feito pela Duollab por conta da clínica, nos termos da Lei nº 13.709/2018 (LGPD). Destina-se a clínicas que exigem um contrato de operador separado; para as demais, os Termos e a Política de Privacidade já cumprem esse papel.

Partes

1. Definições

Os termos dado pessoal, dado pessoal sensível, titular, controlador, operador, tratamento, encarregado e ANPD têm o significado que lhes dá a LGPD.

2. Objeto e papéis

A Controladora contrata o Vincia Med para gestão de clínica e, para isso, insere e trata dados pessoais na plataforma. Quanto a esses dados, a clínica é a Controladora e a Duollab é a Operadora, tratando os dados exclusivamente para prestar o serviço, sob as instruções documentadas da Controladora — que incluem estes documentos e as configurações e ações feitas por ela na plataforma.

3. Escopo do tratamento

• Natureza e finalidade: hospedagem e operação de agenda, cadastro de pacientes, atendimento por WhatsApp, financeiro e agenda externa.
• Duração: enquanto vigorar o contrato principal, mais o período de carência do art. 11.
• Categorias de titulares: pacientes da clínica; profissionais e equipe da clínica.
• Categorias de dados: identificação e contato; agendamentos e convênio; anotações e histórico de atendimento; conversas de WhatsApp; dados de acesso e registros técnicos.
• Dados sensíveis: o tratamento inclui dados pessoais sensíveis de saúde (art. 11 da LGPD), que recebem proteção reforçada.

4. Obrigações da Operadora

• Tratar os dados apenas conforme as instruções documentadas da Controladora e para as finalidades acima; não utilizá-los para fins próprios, não vendê-los e não usá-los para publicidade.
• Garantir que quem tem acesso aos dados esteja sob obrigação de confidencialidade.
• Adotar as medidas de segurança da seção 8.
• Auxiliar a Controladora a responder às solicitações dos titulares (art. 18) e a cumprir seus deveres de segurança, comunicação de incidentes e, quando aplicável, relatório de impacto (arts. 46 a 48).
• Manter registro das operações de tratamento que realiza por conta da Controladora.
• Informar a Controladora, sem demora, caso uma instrução, a seu ver, viole a LGPD.

5. Suboperadores

A Controladora autoriza a Duollab a usar suboperadores para prestar o serviço, sob obrigações de proteção de dados equivalentes às deste DPA. Suboperadores atuais:

A Duollab comunicará mudanças relevantes na lista de suboperadores com antecedência razoável; a Controladora poderá se opor por motivo legítimo de proteção de dados e, não havendo solução, rescindir o contrato.

6. Transferência internacional

Os dados da aplicação ficam no Brasil. Alguns suboperadores (como o Resend, nos Estados Unidos) processam dados no exterior; essas transferências seguem o art. 33 da LGPD, com salvaguardas contratuais adequadas e limitadas à finalidade do serviço.

7. Incidentes de segurança

A Duollab comunicará à Controladora, sem demora injustificada após tomar conhecimento, qualquer incidente de segurança que possa acarretar risco ou dano aos titulares, com as informações disponíveis para que a Controladora avalie a comunicação à ANPD e aos titulares (art. 48). A Duollab apoiará essa comunicação no que lhe couber.

8. Segurança da informação

A Duollab mantém medidas técnicas e administrativas compatíveis com o risco, incluindo: senha protegida por hash (bcrypt); verificação em duas etapas opcional; criptografia em trânsito (HTTPS/HSTS); isolamento lógico dos dados por conta; limitação de tentativas de acesso; registros de auditoria; e backups diários com retenção de 30 dias. As medidas podem evoluir, sem redução do nível de proteção.

9. Direitos dos titulares

Quando um titular exercer direitos diretamente com a Duollab, ela encaminhará o pedido à Controladora e não responderá por conta própria, salvo instrução em contrário. A Duollab fornecerá à Controladora os meios para atender a esses direitos dentro da plataforma (acesso, correção, exportação e eliminação).

10. Auditoria e comprovação

A Duollab disponibilizará à Controladora as informações necessárias para demonstrar o cumprimento deste DPA e permitirá auditorias razoáveis, mediante aviso prévio, em horário comercial e sem comprometer a segurança ou os dados de outros clientes.

11. Retorno e eliminação ao término

Encerrado o contrato, a Controladora poderá exportar os dados durante um período de carência (padrão de 30 dias). Findo esse prazo, a Duollab elimina ou anonimiza os dados pessoais tratados por conta da Controladora, ressalvado o que a lei obrigue a reter.

12. Responsabilidade

Cada parte responde por suas obrigações na forma da LGPD e do contrato principal. A limitação de responsabilidade dos Termos de Uso aplica-se a este DPA, sem prejuízo das responsabilidades que a lei atribui a controlador e operador e dos direitos do consumidor.

13. Vigência

Este DPA vigora enquanto houver tratamento de dados pela Duollab por conta da Controladora e integra o contrato principal do Vincia Med.

14. Foro e legislação

Aplica-se a lei brasileira. Fica eleito o foro do domicílio da Controladora, salvo disposição legal em contrário.

15. Aceite

Este DPA pode ser aceito por assinatura (física ou eletrônica) ou pela contratação e uso do serviço pela Controladora após o seu recebimento. Para solicitar uma via assinada, escreva para [email protected].