1. Objeto
Este anexo integra os Termos de Uso e disciplina o tratamento de dados pessoais realizado pela HarmonIA (operadora) por conta e ordem da Clínica (controladora), na forma da Lei nº 13.709/2018 (LGPD).
2. Papéis
A Clínica decide sobre a coleta, as finalidades e as bases legais do tratamento dos dados de suas pacientes. A HarmonIA trata esses dados apenas para prestar o serviço contratado e conforme as instruções da Clínica, registradas na configuração do sistema e no uso que a Clínica faz dele.
A HarmonIA não usa dado de paciente para finalidade própria, não o comercializa e não o utiliza para treinar modelos de inteligência artificial.
3. Objeto do tratamento
Categorias de titulares: pacientes da Clínica, pessoas interessadas que entraram em contato, e pessoas da equipe da Clínica.
Categorias de dados: identificação e contato; dados de saúde e estéticos, incluindo prontuário, evolução, produtos aplicados com lote e imagens clínicas; documentos e termos assinados; dados financeiros de atendimento; registros de agendamento e de atendimento.
Natureza e finalidade: armazenamento, organização, consulta, geração de documentos, envio de comunicações operacionais e produção de relatórios, para a gestão da própria Clínica.
4. Obrigações da operadora
A HarmonIA se obriga a:
- tratar os dados somente conforme este anexo e as instruções da Clínica;
- manter confidencialidade, inclusive por parte de quem tem acesso técnico;
- adotar as medidas de segurança descritas na Política de Privacidade, com isolamento por clínica aplicado no banco de dados;
- manter trilha de auditoria imutável de acessos e ações sensíveis;
- auxiliar a Clínica no atendimento a pedidos de titulares e a requisições de autoridade;
- comunicar incidente de segurança relevante à Clínica em até [A DEFINIR: prazo, sugerido não superior a 48 horas da ciência], com as informações necessárias para a Clínica cumprir o art. 48 da LGPD;
- não transferir dado a terceiro além dos subcontratados listados, salvo obrigação legal;
- ao fim do contrato, disponibilizar os dados para extração e depois eliminá-los, ressalvada a guarda obrigatória.
5. Obrigações da controladora
A Clínica se obriga a: ter base legal para os dados que insere; obter o consentimento da paciente quando exigido, em especial para uso de imagem; manter a equipe com acesso adequado ao perfil de cada pessoa; e remover o acesso de quem deixa a equipe.
O sistema oferece as ferramentas — termos de consentimento, gestão de equipe, anonimização — mas a decisão e a responsabilidade de usá-las são da Clínica.
6. Subcontratados
A Clínica autoriza os seguintes subcontratados, cada um com função delimitada:
| Subcontratado | Função | Dados que alcança |
|---|---|---|
| Supabase | banco de dados, autenticação, armazenamento de arquivos | todos os dados do sistema |
| Vercel | hospedagem e execução da aplicação | dados em trânsito durante o processamento |
| Resend | e-mail transacional | e-mail do destinatário e conteúdo da mensagem |
| Mercado Pago | pagamento da assinatura | dados de cobrança da Clínica |
| Meta | métricas de anúncio, quando a Clínica conecta a própria conta | identificadores de campanha da Clínica |
Inclusão ou substituição de subcontratado é comunicada com antecedência de [A DEFINIR: prazo], cabendo à Clínica opor-se de forma justificada.
7. Transferência internacional
Parte do tratamento ocorre fora do Brasil, conforme a Política de Privacidade. [A DEFINIR: instrumento de transferência e garantias formalizadas com cada subcontratado.]
8. Auditoria
A HarmonIA fornecerá, quando solicitado de forma razoável, as informações necessárias para a Clínica demonstrar conformidade — inclusive extrato da trilha de auditoria dos acessos aos dados da própria Clínica. [A DEFINIR: direito de auditoria presencial, periodicidade e custeio.]
9. Vigência
Este anexo vigora enquanto durar o contrato de prestação do serviço e, quanto às obrigações de confidencialidade e eliminação, também após o seu término.