Acordo de Tratamento de Dados Pessoais

Contrato de operador, nos termos do art. 39 da Lei nº 13.709/2018 (LGPD), entre o médico ou a clínica usuária do PsiQs Pro e [[PREENCHER: razão social da Nova Tech]] (“Nova Tech”). Vigente a partir de [[PREENCHER: data de vigência]].

1. Partes

1.1. Controlador: o médico ou a clínica identificado no cadastro da conta do PsiQs Pro (“Controlador” ou “você”).

1.2. Operador: [[PREENCHER: razão social da Nova Tech]], CNPJ [[PREENCHER: CNPJ]], com sede em [[PREENCHER: endereço completo da sede]], fornecedora do PsiQs Pro (“Operador” ou “nós”). Encarregado: [[PREENCHER: nome do encarregado de dados]], [[PREENCHER: e-mail do encarregado de dados]].

1.3. Este Acordo é aceito junto com os Termos de Uso, no cadastro, e faz parte do mesmo contrato. Em matéria de proteção de dados de pacientes, este Acordo prevalece sobre os Termos.

2. Definições

2.1. Os termos “dado pessoal”, “dado pessoal sensível”, “titular”, “controlador”, “operador”, “tratamento”, “anonimização”, “eliminação”, “transferência internacional” e “encarregado” têm o sentido do art. 5º da LGPD. “Pseudonimização” tem o sentido do art. 13, § 4º, da LGPD. “ANPD” é a Agência Nacional de Proteção de Dados.

2.2. “Dados do Controlador” são os dados pessoais de pacientes (e de terceiros mencionados no atendimento ou que escrevem ao WhatsApp do consultório) que o Controlador registra ou recebe pelo Serviço, descritos no Anexo I. “Suboperador” é quem o Operador contrata para realizar parte do tratamento. “Equipe” são as pessoas que o Controlador cadastra com acesso próprio à conta. “Incidente” é qualquer evento adverso confirmado que comprometa a confidencialidade, a integridade, a disponibilidade ou a autenticidade de Dados do Controlador.

3. Quem é quem

3.1. Dados dos pacientes: o Controlador é o médico ou a clínica; o Operador trata esses dados em nome dele (art. 5º, VI e VII, da LGPD).

3.2. Dados do próprio médico e da equipe (cadastro, senha, verificação em duas etapas, registros de acesso, aceite, cobrança da assinatura, suporte): o Operador é o controlador, com finalidades próprias descritas na Política de Privacidade. Esses dados não são regidos por este Acordo.

3.3. O registro de auditoria serve aos dois papéis: é registro de acesso do Operador (art. 15 da Lei nº 12.965/2014) e, na parte que diz respeito a pacientes, trilha de integridade do prontuário do Controlador.

3.4. Serviços do próprio Controlador. O número de WhatsApp conectado, a conta do Asaas, a conta da Memed e a conta do Google Agenda são do Controlador, que os contrata diretamente, segundo os termos de cada um. O Serviço se liga a eles por instrução do Controlador; esses fornecedores não são suboperadores do Operador.

3.5. Equipe. As pessoas da equipe tratam os Dados do Controlador em nome do Controlador, que escolhe quem cadastrar e o que cada uma vê, e responde por elas. O Operador aplica no servidor o perfil escolhido.

3.6. Suporte. A central de ajuda, o assistente de suporte e os chamados da tela Ajuda tratam dados do médico e da equipe, regidos pela Política de Privacidade (seções 2.3, 6.7 e 6.8), e não Dados do Controlador. O assistente responde com a central de ajuda e com a situação da conta (plano, assinatura e faturas, verificação em duas etapas, conexão do WhatsApp, pagamentos da assinatura) e não tem acesso ao conteúdo clínico. Os chamados ficam no servidor do Operador, cifrados com a chave do servidor, legíveis pela equipe de suporte. A equipe usa o Telegram como ferramenta interna e recebe por ele só dados de nível da conta e o texto do chamado já pseudonimizado; o sistema não envia ao Telegram Dados do Controlador, e por isso o Telegram não é suboperador. O Controlador e a equipe dele não devem incluir dados de pacientes nas mensagens de suporte. Se, mesmo assim, uma mensagem trouxer dado de paciente, o Operador o trata só para responder ao chamado, com o sigilo da cláusula 7, e o apaga do chamado a pedido do Controlador.

4. Objeto e descrição do tratamento

4.1. O Operador trata os Dados do Controlador apenas para prestar o Serviço: armazenar e sincronizar o prontuário cifrado; guardar o áudio cifrado; executar as funções acionadas pelo Controlador ou pela equipe (Apoio por IA, teleconsulta, questionário pré-consulta, robô e secretária virtual do WhatsApp, lembretes, links de pagamento, agenda externa, pesquisa, exportações); aplicar os perfis de acesso da equipe; fazer cópias de segurança; e manter o registro de auditoria. O detalhamento está no Anexo I.

4.2. O tratamento dura enquanto durar o contrato, mais o prazo de exportação e exclusão da cláusula 15.

5. Instruções do Controlador

5.1. O Operador trata os Dados do Controlador somente segundo as instruções lícitas do Controlador (art. 39 da LGPD). São instruções: este Acordo, os Termos de Uso, as configurações do Serviço escolhidas pelo Controlador e as ações que ele ou a equipe realizam no Serviço — por exemplo, escolher ou trocar o plano, marcar consentimento, acionar o Apoio por IA, cadastrar pessoas da equipe, conectar o WhatsApp, ligar a secretária virtual ou os lembretes automáticos, conectar o Asaas, autorizar o módulo de pesquisa, exportar, excluir e pedir por escrito a exclusão ou a devolução dos dados ao fim do contrato.

5.2. Ao conectar o WhatsApp do consultório, o Controlador instrui o Operador a receber, guardar e responder as mensagens daquele número, a manter a cópia da agenda e dos contatos de que o robô precisa e a enviar à DeepSeek (ou, se ela falhar, ao provedor de reserva da cláusula 10.7), pseudonimizadas, as mensagens que as regras automáticas não entendem (cláusula 10.2).

5.3. O Operador não trata os Dados do Controlador para finalidades próprias. Em especial, não os usa para publicidade, para treinar modelos de inteligência artificial, para estatísticas comerciais ou para venda, e não os compartilha com terceiros fora do previsto na cláusula 9 e na cláusula 3.4. Dado anonimizado que o Controlador decidir entregar ao Operador pelo módulo de pesquisa, na finalidade “melhoria do produto”, deixa de ser Dado do Controlador.

5.4. Se o Operador entender que uma instrução viola a lei, avisará o Controlador e poderá deixar de cumpri-la até que seja esclarecida.

5.5. O Controlador verifica a observância das próprias instruções (art. 39 da LGPD) e pode pedir as informações da cláusula 13.

6. Deveres do Controlador

6.1. Cabe ao Controlador:

1. ter base legal para cada tratamento — tipicamente a tutela da saúde, em procedimento realizado por profissional de saúde (art. 11, II, “f”, da LGPD);
2. obter, antes do uso, o consentimento do paciente para a gravação do áudio e para o Apoio por IA — este específico e destacado, com informação prévia de que o texto pseudonimizado vai para a China e, na falha do provedor principal, para os Estados Unidos (arts. 11, I, e 33, VIII, da LGPD) — e registrá-lo na marcação de consentimento da ficha, que hoje vale para as duas coisas; e obter o consentimento para a teleconsulta (art. 15 da Resolução CFM nº 2.314/2022). Para crianças e adolescentes, observar o art. 14 da LGPD;
3. garantir que a marcação de consentimento no sistema corresponde a um consentimento real, e desmarcá-la se o paciente o revogar;
4. informar os pacientes sobre o tratamento (art. 9º da LGPD), inclusive, se conectar o WhatsApp, de que o número é atendido em parte por assistente automático e de que as mensagens podem ser processadas por IA fora do Brasil; e, quando usar IA como apoio, informá-los e registrar o uso no prontuário, conforme a Resolução CFM nº 2.454/2026;
5. escolher para cada pessoa da equipe o menor acesso suficiente, obrigá-la por escrito ao sigilo e desativá-la quando deixar de trabalhar com ele; a verificação em duas etapas é obrigatória para ele e para todas as pessoas da equipe;
6. não incluir dados de pacientes nas mensagens enviadas ao suporte do Serviço, nem permitir que a equipe o faça (cláusula 3.6);
7. atender os pedidos dos titulares (art. 18 da LGPD);
8. guardar com segurança a senha e a chave de recuperação — sem elas, os dados cifrados ficam irrecuperáveis, inclusive para o Operador;
9. manter cópias de segurança próprias e guardar o prontuário pelo prazo legal (cláusula 15);
10. não compartilhar a conta e manter seguro cada computador em que ele ou a equipe usa o Serviço, onde fica a cópia local do prontuário, sem cifra;
11. avaliar se as medidas de segurança do Anexo II são adequadas ao seu caso e, se necessário, elaborar o relatório de impacto à proteção de dados (art. 38 da LGPD);
12. comunicar à ANPD e aos titulares os incidentes que o exijam (cláusula 11).

7. Confidencialidade

7.1. O Operador mantém sigilo sobre os Dados do Controlador, durante o contrato e depois dele (art. 47 da LGPD).

7.2. Só têm acesso à infraestrutura as pessoas do Operador que precisam dele para manter o Serviço, obrigadas por escrito a guardar sigilo. Pelo desenho da criptografia (Anexo II), essas pessoas não conseguem ler o conteúdo clínico guardado no banco de dados e nas cópias. Elas conseguem, tecnicamente, ler os dados cifrados com a chave do servidor e os dados sem cifra listados no Anexo II, e só os acessam quando é necessário para manter o Serviço, atender pedido do Controlador ou tratar incidente. As pessoas da equipe de suporte também são obrigadas por escrito ao sigilo, não têm acesso ao conteúdo clínico e nunca pedem senha, chave de recuperação ou código da verificação em duas etapas.

7.3. O Operador reconhece que os Dados do Controlador estão protegidos pelo sigilo médico (art. 73 do Código de Ética Médica — Resolução CFM nº 2.217/2018) e se compromete a não contribuir para que pessoas não obrigadas ao sigilo manuseiem prontuários (art. 85 do mesmo Código).

8. Segurança

8.1. O Operador adota as medidas técnicas e administrativas do Anexo II (art. 46 da LGPD) e as mantém atualizadas diante dos riscos e da técnica disponível.

8.2. O Operador pode mudar as medidas, desde que o nível de proteção não diminua. Mudanças relevantes serão informadas ao Controlador.

9. Suboperadores

9.1. O Controlador autoriza o Operador a contratar os suboperadores do Anexo III: Hostinger (hospedagem, sempre), DeepSeek (inteligência artificial, no Apoio por IA e no robô do WhatsApp) e [[PREENCHER: nome do provedor americano escolhido]] (provedor americano de hospedagem de modelos abertos, só como reserva automática quando a DeepSeek falha, cláusula 10.7). Os programas de conexão com o WhatsApp (Evolution API) e de retransmissão da teleconsulta (coturn) rodam no próprio servidor do Operador e não são terceiros.

9.2. O Operador avisará o Controlador com pelo menos 30 dias de antecedência antes de incluir ou trocar um suboperador, por e-mail e no aplicativo. Se discordar, o Controlador pode encerrar o contrato sem multa, com o prazo de exportação da cláusula 15. Em urgência de segurança, o aviso pode ser posterior, justificado.

9.3. O Operador exige dos suboperadores proteção compatível com este Acordo, na medida em que o contrato com cada um permita. A DeepSeek tem termos padronizados que o Operador não negocia; ela trata os dados segundo esses termos e a lei chinesa. O provedor de reserva também trata os dados segundo os termos dele e a lei dos Estados Unidos; segundo a política dele para uso por API, os dados recebidos não são usados para treinar modelos.

9.4. Perante o Controlador e os titulares, o Operador responde pelos atos dos suboperadores que contratou, nos limites da lei.

10. Transferência internacional

10.0. Plano do Controlador. Os envios das cláusulas 10.1, 10.2 e 10.7 só acontecem se a conta do Controlador tiver a IA: no plano Completo com IA, ou em qualquer plano durante os 7 dias de teste. Contas de cortesia têm tudo incluído. No plano Essencial, fora do teste, o Operador não envia texto de consulta nem mensagem de WhatsApp a provedor de IA nenhum. A escolha e a troca de plano pelo Controlador valem como instrução (cláusula 5.1).

10.1. Apoio por IA. Quando o Controlador, com conta com IA, aciona o Apoio por IA para um paciente com consentimento marcado, o servidor pseudonimiza o texto da consulta e o resumo da ficha — troca por marcadores o nome do paciente e dos responsáveis, outros nomes de pessoa reconhecidos, CPF, CNS, RG, telefones, e-mails, endereços, bairros, datas e instituições — e o envia à DeepSeek, empresa chinesa com servidores na China. É transferência internacional de dado pessoal sensível (arts. 33 a 36 da LGPD; Resolução CD/ANPD nº 19/2024). O mecanismo adotado é o consentimento específico e destacado do titular, com informação prévia sobre o caráter internacional da operação, distinto de outras finalidades (art. 33, VIII, da LGPD), obtido pelo Controlador (cláusula 6.1, b). Sem o consentimento marcado, a consulta não é enviada.

10.2. Robô do WhatsApp. Com o WhatsApp conectado, a assinatura ativa, a conta com IA (cláusula 10.0) e o limite mensal de uso da IA não atingido, as mensagens de pacientes que as regras automáticas não entendem vão à DeepSeek, pseudonimizadas do mesmo modo e limitadas a 800 caracteres, para identificar o pedido e sinais de risco. Esse envio não depende de marcação de consentimento por paciente; decorre da instrução do Controlador ao ligar o WhatsApp (cláusula 5.2), com as medidas do Anexo II.

10.3. As partes reconhecem que a pseudonimização reduz, mas não elimina, o risco de reidentificação; que dado pseudonimizado continua sendo dado pessoal; e que a DeepSeek e o provedor de reserva tratam os dados segundo os termos deles e as leis da China e dos Estados Unidos. A decisão de usar o Apoio por IA é do Controlador, paciente por paciente, e a de ligar o WhatsApp também. O parecer da IA é apoio; a decisão clínica é sempre do médico.

10.4. Hospedagem. O servidor fica no Brasil (Campinas, SP); a hospedagem não envolve transferência internacional.

10.5. Programas usados no navegador (fontes, leitor de PDF, modelo de transcrição) são buscados em empresas estrangeiras, que veem só o endereço IP e dados técnicos do navegador; e as funções opcionais da Política de Privacidade, seção 6.4, levam dados a Google e Apple por escolha do Controlador.

10.6. O Operador não fará outras transferências internacionais de Dados do Controlador sem aviso prévio, nos termos da cláusula 9.2.

10.7. Provedor de reserva. Quando a DeepSeek não responde (fora do ar, lenta demais, sobrecarregada ou com erro), o servidor envia automaticamente a mesma requisição a [[PREENCHER: nome do provedor americano escolhido]], provedor americano de hospedagem de modelos de IA abertos, que roda o mesmo modelo DeepSeek em servidores nos Estados Unidos. Ele é usado só como reserva, só enquanto a IA principal falha, e recebe exatamente o mesmo texto já pseudonimizado, nas mesmas situações das cláusulas 10.1 e 10.2 — nunca áudio, nunca o mapa que desfaz os marcadores. É transferência internacional de dado pessoal sensível (arts. 33 a 36 da LGPD), com os mesmos mecanismos das cláusulas 10.1 e 10.2 e as mesmas medidas do Anexo II.

11. Incidentes de segurança

11.1. O Operador comunicará ao Controlador, sem demora e em até 24 horas depois de tomar conhecimento, qualquer incidente que afete Dados do Controlador.

11.2. A comunicação trará, na medida do que já se souber (e será completada depois): a natureza do incidente e dos dados afetados; os titulares e o número aproximado de afetados; as medidas de segurança que protegiam os dados — inclusive se estavam cifrados com a chave do médico, com a chave do servidor ou sem cifra, e se alguma chave pode ter sido exposta; os riscos prováveis; as medidas tomadas e propostas; e um contato para acompanhamento.

11.3. Cabe ao Controlador comunicar a ANPD e os titulares quando o incidente puder acarretar risco ou dano relevante (art. 48 da LGPD). A Resolução CD/ANPD nº 15/2024 fixa para isso o prazo de 3 dias úteis a contar do conhecimento de que o incidente afetou dados pessoais (arts. 6º e 9º); o aviso rápido do Operador serve para que o Controlador consiga cumprir esse prazo. O Operador apoiará o Controlador nessas comunicações e no registro do incidente, que o Controlador deve manter por pelo menos 5 anos (art. 10 da mesma Resolução).

11.4. O Operador não comunicará o incidente aos titulares ou ao público em nome do Controlador sem autorização dele, salvo obrigação legal.

12. Direitos dos titulares

12.1. Se o Operador receber diretamente um pedido de paciente, encaminhá-lo-á ao Controlador em até 5 dias úteis e informará o paciente de que o pedido foi encaminhado ao controlador, sem responder ao mérito.

12.2. O Serviço oferece ao Controlador meios para atender aos pedidos: consulta e correção na ficha; cópia completa dos dados de um paciente e exclusão a pedido, com registro do pedido e aviso sobre o prazo de guarda do prontuário; exportação geral (“Cópia de segurança”, CSV e FHIR R4). Se forem insuficientes num caso concreto — por exemplo, para mensagens guardadas no WhatsApp —, o Operador ajudará no que for tecnicamente possível.

13. Registros, informação e auditoria

13.1. O Operador mantém registro das operações de tratamento que realiza (art. 37 da LGPD), incluindo o registro de auditoria encadeado por resumo criptográfico, com quem agiu (o médico ou a pessoa da equipe), quando e de onde.

13.2. O Controlador consulta no próprio Serviço o registro de auditoria e o registro de acessos às fichas. A pedido, o Operador fornecerá informações razoáveis que demonstrem o cumprimento deste Acordo: descrição das medidas de segurança, lista atualizada de suboperadores e extrato do registro de auditoria referente à conta. Auditorias presenciais ou por terceiro dependem de acordo prévio sobre escopo, data, sigilo e custos.

14. Pedidos de autoridades

14.1. Se receber ordem judicial ou pedido de autoridade sobre Dados do Controlador, o Operador avisará o Controlador antes de responder, salvo proibição legal, e entregará apenas o estritamente exigido.

14.2. O Operador só pode entregar o que consegue ler: os dados cifrados com a chave do servidor e os dados sem cifra do Anexo II. O conteúdo clínico, cifrado com chave ligada à senha do médico, não está ao alcance do Operador, que informará a autoridade dessa limitação.

15. Fim do contrato: exportação, exclusão e guarda do prontuário

15.1. Exportação. Encerrado o contrato por qualquer motivo, terminado o período pago ou a tolerância por falta de pagamento, a conta fica em modo de leitura: o Controlador e a equipe consultam e exportam todos os Dados do Controlador pela “Cópia de segurança” (arquivo), pela exportação em CSV e pela exportação FHIR, mas não registram nada novo. O Operador garante pelo menos 30 dias nesse modo; hoje ele continua depois desse prazo, sem data para acabar. O Serviço não envia avisos automáticos sobre esse prazo.

15.2. Guarda até o pedido do Controlador. O Operador não exclui os Dados do Controlador automaticamente ao fim do contrato, porque o Controlador tem o dever de guardar o prontuário por no mínimo 20 anos (cláusula 15.4) e é quem decide sobre a exclusão. Enquanto não houver pedido, os dados continuam no servidor, com as medidas do Anexo II, sem nenhum uso pelo Operador além de guardá-los e permitir a consulta e a exportação pelo Controlador; o robô do WhatsApp fica desligado, salvo a resposta de risco.

15.3. Exclusão ou devolução a pedido. A pedido escrito do Controlador, feito depois de ele exportar o que precisa guardar, o Operador devolve os dados no formato de exportação do Serviço, se ele pedir, e exclui do servidor os Dados do Controlador: o prontuário sincronizado e as versões anteriores dele, consultas, áudios, a cópia da agenda e dos contatos, as conversas do robô, a conexão e as mensagens do WhatsApp, os links de pagamento e a chave do Asaas, o link de assinatura da agenda, o certificado digital, se houver, e as páginas de questionário publicadas. As cópias de segurança em que ainda existam expiram no ciclo normal — até 30 dias no servidor e até 90 dias na cópia guardada em computador da empresa —, sem restauração salvo para recuperação de desastre. A pedido, o Operador declara por escrito que a exclusão foi feita.

15.4. A tensão entre guardar e excluir. A lei manda preservar o prontuário por no mínimo 20 anos a partir do último registro (Lei nº 13.787/2018, art. 6º), e a Resolução CFM nº 1.821/2007 (art. 7º) prevê guarda permanente para prontuários arquivados eletronicamente. Esse dever é do médico ou da instituição que atende o paciente, não do Operador (art. 87 do Código de Ética Médica; Resolução CFM nº 2.314/2022, art. 3º, § 3º). O Operador, por sua vez, só trata esses dados em nome do Controlador e segundo as instruções dele (arts. 15, 16 e 39 da LGPD); a exceção de conservação para “cumprimento de obrigação legal” (art. 16, I) ampara o Controlador, que tem a obrigação — não o Operador. Por isso:

1. a exclusão pedida pelo Controlador não o libera do dever de guarda; ele deve exportar e manter os dados em meio seguro pelo prazo legal;
2. o Operador guarda os dados depois do fim do contrato só enquanto o Controlador não pedir a exclusão, sem usá-los para nada além de guardá-los e permitir a consulta e a exportação, e não guarda cópia depois da exclusão pedida, salvo o que ainda estiver nas cópias de segurança até expirarem;
3. a guarda pelo Operador depois do fim do contrato não tem prazo definido e não substitui as cópias exportadas que o Controlador deve manter pelo prazo legal.

15.5. Durante o contrato, a responsabilidade pela guarda dos dados de atendimentos por telemedicina é compartilhada entre o médico e o Operador, como exige a Resolução CFM nº 2.314/2022, art. 3º, § 4º: o Operador responde por manter íntegros e disponíveis os dados que estão no servidor; o Controlador, pela senha, pela chave de recuperação, pela cópia local e pelas cópias exportadas.

15.6. O que o Operador conserva. Depois da exclusão pedida, o Operador conserva só o que é dele por obrigação legal própria, como os registros de acesso por 6 meses (art. 15 da Lei nº 12.965/2014) e dados de cobrança do Controlador, conforme a Política de Privacidade, ou o que uma ordem judicial mandar guardar.

16. Responsabilidade

16.1. Cada parte responde pelos danos que causar ao descumprir a LGPD ou este Acordo. O Operador responde solidariamente perante o titular quando descumprir a legislação de proteção de dados ou quando não seguir as instruções lícitas do Controlador, hipótese em que se equipara ao controlador (art. 42, § 1º, I, da LGPD), salvo as excludentes do art. 43.

16.2. Quem indenizar o titular tem direito de regresso contra a outra parte, na medida da participação dela no dano (art. 42, § 4º, da LGPD).

16.3. As limitações de responsabilidade dos Termos de Uso valem entre as partes apenas no que a lei permitir e não afetam os direitos dos titulares.

17. Vigência

17.1. Este Acordo vale enquanto houver contrato de uso do Serviço e, depois dele, enquanto o Operador guardar Dados do Controlador, até a conclusão da exclusão pedida (cláusula 15). As obrigações de sigilo, de responsabilidade e de conservação legal continuam depois disso.

18. Alterações, lei e foro

18.1. Alterações deste Acordo seguem a cláusula 16 dos Termos de Uso, com aviso prévio de 30 dias para mudanças relevantes.

18.2. Aplicam-se as leis do Brasil. Foro: comarca de [[PREENCHER: cidade e UF do foro]], ressalvado o foro do domicílio do consumidor quando o Código de Defesa do Consumidor se aplicar.

Anexo I — Descrição do tratamento

A-I.1. Transcrição. “Transcrever a gravação” é feito no aparelho do Controlador, com modelo baixado uma vez; o áudio não sai do aparelho para ser transcrito. A “Transcrição ao vivo”, desligada por padrão, é feita no próprio computador no Chrome e no Edge do computador; nos demais navegadores (Safari, Chrome do Android), usa o reconhecimento de voz do navegador, que pode enviar a voz à Apple ou ao Google.

A-I.2. Teleconsulta. Vídeo, áudio, conversa e arquivos vão direto entre os navegadores (WebRTC), cifrados pelo próprio padrão. O servidor cria a sala e faz a sinalização. Em redes restritivas, o fluxo cifrado passa pelo servidor de retransmissão (TURN) do Operador, no mesmo servidor no Brasil, sem gravação e sem acesso ao conteúdo. O vídeo não é gravado; o áudio pode ser gravado pelo Controlador, com consentimento, e o paciente vê o aviso.

A-I.3. Questionário pré-consulta. O servidor guarda só a página com as perguntas e o número de WhatsApp de devolução, sem o nome do paciente. A resposta não passa pelo servidor: a página gera um código que o paciente devolve ao Controlador pelo canal que este escolher, e o Controlador o importa no aplicativo.

A-I.4. WhatsApp. A conexão usa o número do Controlador como aparelho adicional, por programa que roda no servidor do Operador (não é a conexão oficial da Meta). Ficam no servidor: as mensagens que passam pelo número, sem cifra, no banco do programa de conexão; e, cifradas com a chave do servidor, a cópia da agenda dos próximos dias, os nomes e telefones dos pacientes com telefone, as conversas e os avisos do robô.

A-I.5. Pagamentos. No Asaas do Controlador, o link de pagamento leva a descrição “Consulta” com data, hora e valor; o paciente informa nome e CPF na página do Asaas.

Anexo II — Medidas de segurança

• Transporte: HTTPS obrigatório em todas as conexões.
• Conteúdo clínico em repouso: prontuário sincronizado, cadastros de pacientes, consultas, pareceres, evoluções, áudios e certificado digital cifrados com AES-256-GCM, com a chave de conteúdo do médico. Essa chave fica guardada trancada pela senha do médico (derivação scrypt somada a uma chave mestra do servidor), pela chave de recuperação e pela senha de cada pessoa da equipe. Sem uma dessas senhas, quem tiver o banco de dados, as cópias e a chave mestra não lê o conteúdo clínico.
• Durante a sessão: enquanto o médico ou a equipe está conectado (até 12 horas), a chave fica na memória do servidor para executar as funções acionadas, e a senha passa pelo servidor na entrada. Quem administra o servidor teria meios técnicos de capturá-las de propósito; o Operador se obriga a não fazê-lo, e o acesso ao servidor é restrito.
• Dados cifrados com a chave do servidor (legíveis pelo Operador, para o robô funcionar com o médico desconectado): cópia da agenda dos próximos dias e lista de nomes e telefones dos pacientes; horário de atendimento, valores e chave Pix; conversas e avisos do robô do WhatsApp, inclusive mensagens de risco; links de pagamento; chave de acesso ao Asaas; agenda do link de assinatura; segredo da verificação em duas etapas.
• Dados sem cifra: mensagens de WhatsApp no banco do programa de conexão; cadastro do médico e da equipe; datas, duração e marcações das consultas; registro de auditoria; registros técnicos do servidor; páginas de questionário publicadas.
• Recuperação: chave de recuperação entregue ao médico no cadastro, sem cópia legível com o Operador. Perdidas a senha e a chave de recuperação, os dados cifrados são irrecuperáveis.
• Áudio: guardado no servidor só com consentimento registrado, cifrado.
• Acesso: contas individuais para o médico e para cada pessoa da equipe; perfis aplicados pelo servidor (sem acesso ao prontuário, o prontuário não é entregue); só o médico titular exclui pacientes; senhas fortes, guardadas como resumo criptográfico (bcrypt); limite de tentativas de entrada; verificação em duas etapas obrigatória para o médico titular e para todas as pessoas da equipe; nova confirmação de senha e código para cadastrar ou alterar a equipe, conectar o Asaas e encerrar a assinatura; cada CRM com UF em uma só conta; certificado digital A1 só do próprio médico; novo aceite quando os documentos mudam; acesso administrativo à infraestrutura restrito a pessoas autorizadas, sob sigilo.
• Rastreabilidade: registro de auditoria encadeado por resumo criptográfico (quem fez o quê, quando, de onde), que denuncia alteração ou exclusão parcial; não protege contra quem refaça a cadeia inteira com acesso completo ao banco.
• Disponibilidade: cópia de segurança diária do banco do Serviço e do banco do WhatsApp, com teste de restauração, guardada por 30 dias no servidor (arquivos de áudio, 7 dias); cópia cifrada levada diariamente a computador da empresa, guardada por 90 dias, junto com a cópia da configuração do servidor, para recuperação de desastre; 30 versões anteriores do prontuário sincronizado.
• Rede: banco de dados e programa do WhatsApp sem acesso direto pela internet; servidor de retransmissão da teleconsulta com credenciais temporárias e impedido de alcançar a rede interna; salas de teleconsulta com chave e validade de 6 horas.
• Minimização no envio à IA: nenhum envio em contas sem IA (plano Essencial fora do teste); pseudonimização no servidor antes do envio (nomes, CPF, CNS, RG, telefones, e-mails, endereços, bairros, datas, instituições); só texto, nunca áudio; Apoio por IA só com consentimento marcado; nada sai da consulta se a pseudonimização não estiver disponível; mensagens de WhatsApp limitadas a 800 caracteres e só quando as regras não as entendem; limite mensal de uso da IA por conta, que, atingido, interrompe os envios até o mês seguinte.
• Limites conhecidos: a pseudonimização não elimina o risco de reidentificação; a cópia local no navegador não é cifrada; depois do fim do contrato, os dados ficam guardados até o pedido de exclusão.

Anexo III — Suboperadores e serviços ligados