Contrato de Tratamento de Dados

1. Partes e papéis

Este Contrato é celebrado entre você, profissional titular da conta ("Controlador(a)"), e [RAZÃO SOCIAL], inscrita no CNPJ sob o nº [CNPJ], com sede em [ENDEREÇO] ("FL PsicoFlow"), na qualidade de operador ("Operador"), e integra os Termos de Uso.

O(a) Controlador(a) decide as finalidades e os meios essenciais do tratamento dos dados dos pacientes e responde pela base legal aplicável e pela informação aos titulares.

2. Objeto e instruções

O Operador trata dados de pacientes somente para fornecer a plataforma: armazenar, exibir, exportar, excluir e, quando solicitado, gerar relatórios de IA. O uso da plataforma constitui instrução documentada do(a) Controlador(a).

O Operador não trata esses dados para finalidade própria e avisará o(a) Controlador(a) se entender que uma instrução viola a lei.

3. Dados e titulares

Titulares: pacientes e seus contatos de emergência. Dados: identificação, contato, agenda, dados financeiros das sessões e dados de saúde presentes em registros clínicos, inclusive dados pessoais sensíveis.

4. Confidencialidade e segurança

O Operador mantém medidas técnicas e administrativas adequadas (art. 46 da LGPD), incluindo verificação em duas etapas disponível para ativação, isolamento entre contas, expiração de sessão, criptografia em trânsito e em repouso e registro de auditoria.

O acesso de pessoas autorizadas pelo Operador ao conteúdo clínico é excepcional, restrito ao necessário para suporte ou segurança e sujeito a dever de confidencialidade.

5. Suboperadores

O(a) Controlador(a) autoriza a contratação dos suboperadores abaixo. O Operador responde por exigir deles obrigações de proteção compatíveis e avisará sobre novos suboperadores com antecedência de [PRAZO], permitindo oposição e encerramento da conta.

Supabase: banco de dados, autenticação e envio de e-mails da conta. Localização dos dados: [REGIÃO A CONFIRMAR].

Vercel: hospedagem da aplicação. Localização do processamento: [REGIÃO A CONFIRMAR].

OpenAI: geração do relatório de IA, somente quando o(a) profissional solicita. Recebe faixa etária, data da sessão e o texto do registro após filtro automático de identificadores. Localização do processamento: [REGIÃO A CONFIRMAR].

6. Transferência internacional

Quando houver tratamento fora do Brasil, o Operador adotará mecanismo válido nos termos dos arts. 33 a 36 da LGPD e da regulamentação da ANPD: [MECANISMO A CONFIRMAR COM CADA FORNECEDOR].

7. Apoio ao(à) Controlador(a)

A plataforma permite exportar e excluir os dados de cada paciente e consultar o registro de atividades, para atender aos titulares. O Operador prestará o apoio adicional razoável quando necessário e encaminhará pedidos que receber diretamente.

8. Incidentes de segurança

O Operador comunicará ao(à) Controlador(a), sem demora injustificada e em até [PRAZO — SUGESTÃO: 48 HORAS] da ciência, incidente que possa afetar dados de seus pacientes, informando natureza, dados envolvidos e medidas adotadas, para apoiar eventuais comunicações à ANPD e aos titulares.

9. Término e devolução

O(a) Controlador(a) pode exportar os dados antes de encerrar a conta. Com a exclusão, os dados clínicos são apagados da base ativa imediatamente e das cópias de segurança em até [PRAZO DE BACKUP A CONFIRMAR].

Permanecem apenas registros de auditoria e de aceite, sem conteúdo clínico. Cabe ao(à) Controlador(a) garantir a guarda dos prontuários pelo prazo legal, inclusive a Resolução CFP nº 01/2009.

10. Responsabilidade e auditoria

Cada parte responde nos termos dos arts. 42 a 45 da LGPD. O Operador fornecerá, mediante solicitação razoável, informações que demonstrem o cumprimento deste Contrato.